Le domande che si fanno prima di fidarsi
Risposte brevi, comprese quelle poco lusinghiere. Se qualcosa qui si rivela sbagliato, è un errore di questa pagina e vale la pena segnalarlo.
1. È davvero cifrato?
Sì, e non come un’impostazione che si può disattivare. Tutto ciò che passa tra due persone viaggia su un DataChannel WebRTC, che è cifrato con DTLS oppure non esiste affatto. La voce e la condivisione dello schermo viaggiano sulla stessa connessione tramite SRTP.
Più della parola “cifrato”, conta chi possiede le chiavi. Le chiavi vengono negoziate tra i due browser; il server inoltra lo scambio iniziale e non le vede mai. Per dimostrare che non c’è nessuno nel mezzo, ogni persona ha otto parole di sicurezza accanto al proprio nome: leggile ad alta voce e, se coincidono, la connessione è tra te e l’altra persona, e nessun altro.
Quando entri da un link di invito, questo controllo avviene anche automaticamente: il link contiene un segreto che il server non ha mai visto, e ciascuna parte dimostra di possederlo. È questo il significato del badge verde “verificato”.
Inoltre, tutto viene cifrato una seconda volta con chiavi che un futuro computer quantistico non potrà recuperare: un ibrido di X25519 e ML-KEM-768, combinato con il segreto della stanza quando c’è, senza che nessuna chiave sigilli qualcosa per più di un minuto e con un nuovo scambio ogni mezz’ora. Chi registra oggi il tuo traffico per aprirlo fra dieci anni non ottiene nulla. I messaggi e i file hanno sempre questo strato; le chiamate e gli schermi lo hanno quando entrambi i browser possono sigillare i fotogrammi video e audio, cosa che il pannello di connessione ti indica persona per persona. Un collegamento senza questo secondo livello non viene mai usato: se l’app o il browser di qualcuno non può fare lo scambio, o qualcosa lo disturba, non vieni collegato a quella persona, e Obleevo te lo dice.
2. Obleevo è come WeTransfer: carichi un file, mandi un link e hai finito?
No. Obleevo non è un servizio di caricamento e non conserva nulla da nessuna parte. È una stanza privata dal vivo: le persone con cui condividi aprono la stessa stanza nello stesso momento, e file, messaggi, voce e schermo vanno direttamente da un browser all’altro, cifrati end-to-end con un livello post-quantistico in più (X25519 + ML-KEM-768). Non c’è un link da cui scaricare più tardi né una copia in un cloud.
Nella stessa stanza puoi anche chattare, chiamare (fino a 20 persone), condividere lo schermo, scrivere note insieme e disegnare su una lavagna condivisa. Se un file deve aspettare qualcuno che non è ancora online, Obleevo non è lo strumento giusto: un servizio di caricamento sì.
3. Per quanto tempo restano disponibili i miei file?
Finché la stanza è aperta e le persone sono dentro. Nulla scade su un server, perché nulla vi viene mai messo. Quando la stanza si chiude, o l’host la brucia, tutto viene cancellato da ogni browser che c’era. Per inviare di nuovo un file, apri una nuova stanza.
4. Dove vengono conservati i miei file?
Da nessuna parte. Non c’è uno spazio di archiviazione in cui metterli: il file va da un browser all’altro e viene scritto sul disco di chi lo ha accettato. Il server passa ai due browser solo le informazioni sufficienti per trovarsi, e nient’altro.
È anche per questo che l’unico limite fissato da Obleevo è di 1 TB (Chrome ed Edge su un computer scrivono un file direttamente sul disco; gli altri browser e i telefoni scrivono un download di 64 MB o più nello spazio privato che il browser riserva a questo sito, poi lo consegnano ai loro Download, quindi il loro limite è lo spazio che il browser concede al sito), ed è per questo che non c’è una data di scadenza né un link per il download. Un link a un file significherebbe un file conservato da qualche parte, e non ce n’è nessuno.
5. Il mio amico non riesce a connettersi. E adesso?
Prima di tutto: dovete avere entrambi la pagina aperta nello stesso momento. Non viene conservato nulla, quindi non c’è niente da ritirare più tardi.
Se la stanza lo segna come “nessun collegamento diretto”, o lo mostra come “connessione in corso” per più di venti secondi, le due reti stanno rifiutando una connessione diretta - di solito per colpa di un router restrittivo o di un operatore mobile. Attiva “Nascondi il mio IP” nel pannello di connessione della stanza, se questa installazione ha un relay configurato: la connessione passa allora per il relay, e così quasi sempre funziona.
Una rete aziendale o scolastica che blocca del tutto UDP può impedirlo completamente. Questa applicazione non può aggirare il problema, e lo dirà invece di continuare a girare a vuoto.
6. Cosa sono le otto parole accanto a un nome?
Sono un’impronta delle chiavi di cifratura, trasformata in parole perché una persona possa confrontarle. Se le tue otto parole e le sue sono le stesse, non c’è niente tra voi che stia riscrivendo la conversazione.
È la stessa idea del numero di sicurezza di Signal. Controllarlo richiede dieci secondi ed è l’unica parte di questa app che ti chiede qualcosa.
Se siete l’uno accanto all’altro, potete invece scansionare il codice a vicenda: apri le parole di sicurezza e premi “Scansiona il suo codice”. In una chiamata, uno scudo accanto a ogni persona indica se è stata verificata - vale la pena dare un’occhiata, perché oggi una voce si può imitare in modo convincente.
7. Il file viene controllato alla ricerca di malware?
Viene esaminato, che non è la stessa cosa che farlo analizzare da un antivirus, e l’app sceglie le parole con cura per segnare la differenza. Non viene eseguito né emulato nulla. L’unico elenco che usa contiene le impronte SHA-256 di circa 1,1 milioni di campioni di malware noti provenienti da MalwareBazaar; è incluso nell’app e viene consultato all’interno del tuo browser, quindi nulla del tuo file viene inviato da nessuna parte per questo.
Quello che avviene è un triage: il vero tipo di file confrontato con il nome che porta, doppie estensioni e caratteri nascosti, programmi sepolti dentro documenti o immagini, macro, PDF con script, contenuto degli archivi compressi, firme del codice, e l’impronta del file confrontata con quell’elenco di malware noti. Il mittente vede questo rapporto prima che venga inviato qualsiasi cosa, e chi riceve lo vede - insieme al proprio controllo dei primi kilobyte - prima di accettare. L’intero file viene controllato di nuovo all’arrivo, e ogni blocco da 4 MB viene verificato con SHA-256 man mano che arriva.
Il punteggio migliore che può dare è 95 su 95, e dice chiaramente che “non è stato trovato nulla” non significa “questo è sicuro”.
8. Qualcuno può inviarmi un file senza il mio consenso?
No. Un’offerta di file è una domanda con due pulsanti, e nulla viene scritto sul tuo disco finché non premi Accetta - che è anche il clic che dà al browser il permesso di scegliere dove salvarlo.
La stessa regola vale per il microfono: l’audio di una chiamata a cui non ti sei unito viene trattenuto senza essere riprodotto, e la stanza ti dice semplicemente che qualcuno sta parlando. Il tuo microfono non si apre finché non ti unisci tu stesso alla chiamata.
9. Cosa cancella esattamente Brucia?
Disconnette tutti in una volta, fa smettere di funzionare il codice e, su ogni dispositivo della stanza, cancella la memoria della pagina, lo spazio di archiviazione del browser, le note di ripresa e la copia offline dell’applicazione stessa.
Quello che non può fare è raggiungere un file che qualcuno ha già salvato sul proprio disco, o uno screenshot che ha fatto. Niente può farlo. L’app lo dice con queste parole invece di lasciar intendere il contrario.
10. Cosa fa Visualizza una volta (e cosa non fa)?
Invia un messaggio, oppure una sola immagine o un breve video (PNG, JPEG, GIF, WebP, MP4 o WebM, fino a 64 MB), che ogni persona può aprire una volta. Un file aspetta comunque Accetta e il controllo come qualsiasi altro, poi resta nella memoria della scheda - mai salvato sul disco, nessuna miniatura - finché non viene aperto. Chiuderlo lo distrugge, e l’app di chi lo riceve avvisa il mittente che è stato aperto.
Quello che non può fare: impedire a qualcuno di fotografare lo schermo con un altro dispositivo, né impedire che una copia modificata dell’app conservi ciò che ha ricevuto - o che non dica mai di averlo aperto. Il visualizzatore si sfoca quando la sua finestra non è in primo piano e non offre nulla da salvare o copiare, il che evita gli incidenti, ma non ferma una persona determinata. Invia qualcosa con Visualizza una volta solo a chi lo affideresti comunque.
11. Come esco in fretta se entra qualcuno?
Premi Esc tre volte entro un secondo. La pagina diventa subito bianca, esci dalla stanza - se sei l’host, la stanza brucia per tutti - e questo browser dimentica Obleevo: la sua memoria, il suo spazio di archiviazione e la sua copia offline. La scheda finisce su una pagina vuota, e il pulsante Indietro non riporta alla stanza.
Su un telefono senza tastiera, usa Esci, oppure Brucia se sei l’host.
12. Le mie foto rivelano dove mi trovo?
Non le immagini JPEG, PNG e WebP che invii tramite Obleevo: prima che partano, il tuo browser rimuove la posizione GPS, i dettagli della fotocamera, il testo incorporato e tutto ciò che è accodato dopo l’immagine, e la finestra di invio indica cosa ha tolto. L’immagine in sé non viene toccata.
I formati che non può ripulire in modo sicuro - le foto HEIC di un iPhone, i video, i file raw - partono così come sono, e la finestra ti avvisa. Convertili prima, se il luogo in cui sono stati scattati è importante.
13. Gli altri possono vedere il mio indirizzo IP?
In una connessione diretta, sì - è questo che significa “diretta”, e vale per ogni strumento peer-to-peer, compresi quelli che non lo dicono. Obleevo lo indica nel pannello di connessione invece di nasconderlo.
Se questa installazione ha un relay configurato, “Nascondi il mio IP” fa passare la tua connessione attraverso di esso: gli altri vedono allora il relay e mai il tuo indirizzo. Costa un po’ di velocità, e chi gestisce il relay vede i volumi di traffico, non i contenuti - la cifratura è end-to-end in entrambi i casi. Il relay vede anche il tuo indirizzo IP.
14. “Camuffa la mia voce” mi rende anonimo?
No. Cambia il suono della tua voce - Grave, Acuta, Scoiattolo, Mostro, Radio, Sussurro o Fantasma - sul tuo dispositivo, prima che il suono parta, nelle chiamate e nei messaggi vocali (non nella dettatura); Disattivato invia il tuo microfono così com’è. Tutti nella chiamata vedono il contrassegno “voce camuffata” accanto al tuo nome, quindi nessuno viene tratto in inganno.
Grave e Acuta spostano la tua voce di circa cinque semitoni verso il basso o verso l’alto, Scoiattolo di circa nove verso l’alto, Mostro di circa sette verso il basso, e Fantasma di circa tre verso il basso, con un’ondulazione lenta e un riverbero: chi ha una registrazione e un editor audio può riportare il tono al suo posto. Radio mantiene il tuo tono e lo restringe soltanto alla banda di un walkie-talkie. Sussurro è quello che nasconde di più: elimina del tutto il tono e ricostruisce la tua voce a partire dal rumore, quindi non resta alcun tono da riportare indietro. Ma le tue parole, il tuo accento, il tuo ritmo e i tuoi modi di dire restano tuoi in ogni modalità, Sussurro compreso. Impedisce a un ascoltatore occasionale di riconoscere la tua voce; non nasconde chi sei a qualcuno di determinato. Il tuo indirizzo IP è un’altra questione, con la sua risposta più sopra.
15. Obleevo mi rende anonimo?
No. Ciò che condividi è cifrato in modo che non possiamo leggerlo, non ci sono account e il server non tiene alcun elenco di chi ha parlato con chi. Ma il server e i relay vedono il tuo indirizzo IP finché sei connesso, il tuo provider vede che ti connetti a obleevo.com, le persone nella stanza possono conservare ciò che invii e testimoniare, e un dispositivo può contenere tracce.
È vietato usare Obleevo per qualsiasi cosa illegale. La sezione 20 dell’informativa sulla privacy dà l’elenco completo di ciò che può essere tracciato e di ciò che non può esserlo.
16. Quanto può essere grande un file che invio?
L’unico limite imposto da questa applicazione è di 1 TB per file, ben oltre quanto una scheda del browser invierà mai. L’invio di 20 GB è stato provato da un capo all’altro; il file viene letto in blocchi da 4 MB e scritto sul disco man mano che arriva, quindi nessuna delle due parti lo tiene mai in memoria.
Vale la pena conoscere due limiti pratici. Solo Chrome ed Edge su un computer salvano un file direttamente nel punto che scegli. Gli altri browser e i telefoni non hanno una finestra di salvataggio, quindi un download di 64 MB o più viene scritto nello spazio privato che il browser riserva a questo sito e consegnato ai suoi Download quando ogni blocco è stato verificato; lì il limite è lo spazio libero che il browser concede al sito, e l’app lo dice quando accetti e non a metà strada. E un trasferimento ha bisogno di entrambe le schede aperte - se ne chiudi una si mette in pausa, per riprendere più tardi da dove si era fermato.
17. Inviare a più persone mi costa più caricamenti?
No. Le persone che ricevono si scambiano i pezzi tra loro, quindi il file lascia il tuo dispositivo all’incirca una volta, qualunque sia il loro numero. Misurato sul computer su cui è stata sviluppata: inviare 20 GB a due persone ha caricato 20 GB e ne ha consegnati 40.
Se gli altri non riescono a raggiungersi a vicenda, il tuo dispositivo colma le lacune senza dire nulla - lo scambio è l’ottimizzazione, e che tutti ricevano il file intero è la garanzia.
18. È gratis? E dov’è il trucco?
È gratuito da usare e non ha pubblicità, né account, né analisi statistiche. Il trucco, se lo è, è che non è software libero: è proprietario, e la licenza non consente di copiarlo, modificarlo o ospitarlo altrove.
Costa pochissimo da mantenere proprio perché non conserva nulla - una stanza che sposta cento gigabyte costa al server qualche kilobyte di presentazioni.
19. Funziona su un telefono?
Sì, nel browser, e si può installare nella schermata Home come un’app. Su Android compare anche nel menu di condivisione del sistema, quindi una foto si può inviare a una stanza direttamente dalla galleria - i file vengono consegnati alla pagina dal worker offline e non vengono mai caricati da nessuna parte.
Anche i file grandi funzionano su un telefono. Senza finestra di salvataggio, un download di 64 MB o più viene scritto nello spazio privato che il browser riserva a questo sito, non tra i tuoi file, e consegnato ai suoi Download quando ogni blocco è stato verificato; una cartella arriva come un unico .zip. Il limite è lo spazio libero che il browser concede al sito. Quello spazio viene cancellato quando esci dalla stanza o la bruci, e ciò che una scheda chiusa o andata in crash ha lasciato lì viene cancellato alla successiva apertura di Obleevo.
20. Come copio dal telefono al computer?
Premi “Collega i miei dispositivi” su uno dei due e scansiona con l’altro il codice che mostra, oppure apri lì il link. Si apre così una stanza riservata ai tuoi dispositivi: nessuno entra senza il link, accoglie al massimo quattro dispositivi e si chiude quando esce il dispositivo che l’ha aperta.
Copia qualcosa come al solito, poi premi “Incolla qui” nella scheda Appunti: compare sugli altri tuoi dispositivi. Il testo va direttamente negli appunti dell’altro dispositivo se quella pagina è in primo piano; altrimenti premi “Copia” lì accanto. Un’immagine aspetta prima Accetta e il controllo, come qualsiasi file, e poi “Copia”.
L’app legge i tuoi appunti solo quando premi “Incolla qui”, e ci scrive solo quando premi “Copia” o quando arriva un testo mentre la pagina è in primo piano. Gli elementi passano tra i tuoi dispositivi sulla stessa connessione cifrata di tutto il resto, non vengono mai conservati e spariscono con la stanza.
21. Cos’è la cassaforte?
Un modo per conservare file, note, password e codici 2FA cifrati in un unico file che tieni tu. Nella pagina iniziale o su /vault, scegli “Cifra file”, aggiungi ciò che vuoi proteggere, scegli una passphrase e salva: ottieni un unico file .obleevo, che tieni dove vuoi - sul tuo computer, su una chiavetta USB, nel tuo spazio cloud.
Tutto viene cifrato nel tuo browser prima di essere salvato, perfino i nomi dei file. La tua passphrase passa per Argon2id, che costa 64 MiB di memoria e tre passaggi per ogni singolo tentativo, e diventa una chiave che sblocca una chiave casuale a 256 bit; questa chiave cifra tutto con AES-256-GCM, e un file alterato in qualsiasi modo viene rifiutato invece di essere aperto. Sono accettate solo passphrase robuste, e l’app si offre di generarne una per te.
Una cassaforte aperta vive solo nella memoria della scheda: nulla di essa viene scritto nello spazio di archiviazione del browser, e si blocca da sola dopo 10 minuti di inattività, o 5 minuti quando la scheda è in secondo piano. Se lasci la pagina con una cassaforte aperta, l’app te lo chiede prima. Il formato esatto è pubblicato, così chiunque può verificarlo.
22. E se dimentico la passphrase della mia cassaforte?
Allora la cassaforte non si può più aprire - né da te, né da noi, né da nessuno. Non c’è reimpostazione, né email di recupero, né backdoor: Obleevo non ha mai avuto la tua passphrase né una copia della tua cassaforte, e una chiave che qualcun altro potesse recuperare sarebbe una chiave che qualcun altro potrebbe usare.
Scrivi la passphrase e conservala in un posto sicuro, lontano dal file della cassaforte. Una passphrase generata è composta da sei gruppi di quattro lettere e cifre, ed è più facile da ridigitare di quanto sembri: le maiuscole non contano, e nemmeno le confusioni tra O e 0, o tra I, L e 1.
23. Come apro una cassaforte?
Sul sito. Scegli “Apri una cassaforte” nella pagina iniziale o su /vault, seleziona il tuo file .obleevo e digita la passphrase. La pagina legge il file dove si trova; non viene caricato nulla.
Nell’app installata. Una volta installato Obleevo dal tuo browser, un doppio clic su un file .obleevo lo apre nell’app, dove il browser lo supporta (Chrome ed Edge su un computer).
Senza Obleevo. Scegli “Scarica lo strumento di apertura offline”: ottieni un unico file HTML che apre una cassaforte in un normale browser, senza connessione a internet e senza questo sito. Tienilo accanto alla tua cassaforte e potrai continuare ad aprirla anche se un giorno Obleevo dovesse sparire. Una cassaforte con codici 2FA richiede Obleevo 1.25 o successivo: scarica di nuovo lo strumento se il tuo è più vecchio.
Da una stanza. Un file che ricevi in una stanza può andare direttamente nella tua cassaforte.
24. La cassaforte resiste ai computer quantistici?
Per quanto se ne sa oggi, sì, per una ragione semplice: usa solo crittografia simmetrica - Argon2id, SHA-256, HKDF e AES-256-GCM. Gli algoritmi che i computer quantistici sono notoriamente in grado di rompere, come RSA e le curve ellittiche, sono algoritmi a chiave pubblica, e la cassaforte non ne usa nessuno.
Contro la cifratura simmetrica, il miglior attacco quantistico noto, l’algoritmo di Grover, al massimo dimezza la lunghezza effettiva di una chiave: ad AES-256 restano circa 128 bit, ben oltre la portata di qualsiasi ricerca, e anche questo è un limite teorico che ignora quanto male l’attacco si ripartisce tra più macchine. In teoria la stessa accelerazione quadratica si applica all’indovinare una passphrase, ma ogni tentativo richiede comunque di eseguire Argon2id, con i suoi 64 MiB di memoria, sul computer quantistico stesso. Una passphrase lunga resta la vera protezione, ed è per questo che l’app ne suggerisce una generata.
Nessuno può promettere cosa scoprirà la ricerca futura, e questa risposta cambierà se cambierà la scienza.
25. Obleevo può vedere cosa c’è nella mia cassaforte?
No. La cassaforte viene cifrata e decifrata nel tuo browser. Né il file, né il suo contenuto, né i nomi di ciò che contiene, né la tua passphrase vengono mai inviati a Obleevo, e nulla di tutto ciò viene conservato nello spazio di archiviazione del tuo browser. Aprire la pagina della cassaforte scarica i file dell’app stessa, come qualsiasi altra pagina, e nient’altro.
Ciò di cui devi fidarti è il codice che esegue la cifratura, e quel codice te lo fornisce questo sito. Se preferisci non fidarti a ogni visita, lo strumento di apertura offline è una copia che non cambia più una volta scaricata, e il formato pubblicato permette a chiunque di verificare il nostro lavoro o di scrivere il proprio strumento di apertura. E nessuna cifratura protegge una cassaforte aperta su un dispositivo o in un browser già compromessi.
26. La cassaforte è un backup?
No. Obleevo non conserva alcuna copia della tua cassaforte: le uniche copie sono quelle che salvi tu. Se perdi il file, o il dispositivo su cui si trova, è perso. Conserva almeno due copie in posti diversi, e salva di nuovo dopo ogni modifica - una copia più vecchia contiene solo ciò che c’era allora. In Chrome ed Edge su un computer, il salvataggio sovrascrive il file che hai aperto, dopo che il browser ti ha chiesto il permesso una volta; altrove ogni salvataggio è un nuovo download, e l’app ti ricorda di eliminare quello vecchio.
Tre limiti, in tutta onestà. Una copia più vecchia si apre ancora con la passphrase che aveva, quindi chi possiede una vecchia copia può leggere ciò che conteneva allora. Cambiare la passphrase cambia anche le chiavi sottostanti: appena salvi, il nuovo file non si apre né con la vecchia passphrase né con nulla di ciò che una vecchia copia ha rivelato - ma le copie fatte prima si aprono ancora con quella vecchia, quindi, se potrebbe essere trapelata, eliminale, comprese le versioni precedenti che un servizio cloud potrebbe conservare. E la dimensione del file rivela all’incirca quanto contiene.
27. La cassaforte può contenere i miei codici 2FA?
Sì. Aggiungine uno incollando il link otpauth del sito, digitando il suo segreto o scansionando il suo codice QR con la fotocamera - che si apre solo quando premi scansiona, solo video, e nulla di ciò che vede viene inviato da nessuna parte. La cassaforte mostra il codice del momento, calcolato sul tuo dispositivo; il segreto è conservato solo all’interno del file cifrato.
Due cose da valutare. Una cassaforte che contiene sia una password sia il suo codice 2FA è un solo segreto, non due: chi la apre ha entrambi i fattori, quindi conserva altrove i codici di recupero di ciascun sito. E una cassaforte con codici 2FA richiede, per essere aperta, Obleevo 1.25 o successivo e uno strumento di apertura offline scaricato da allora; le versioni precedenti la rifiutano.
28. Come trasferisco le mie password da Bitwarden, 1Password o Chrome?
Esporta un file CSV da Bitwarden, 1Password, oppure da Chrome o Edge, poi importalo in una cassaforte aperta. Il file viene letto interamente sul tuo dispositivo; non viene caricato nulla. Vengono importati gli accessi, e anche le note sicure e i segreti 2FA quando l’esportazione li contiene; una riga che non si riesce a leggere viene indicata con il suo numero di riga, mai con il suo contenuto.
Quel file CSV contiene tutte le tue password in chiaro. Una volta salvata la cassaforte, eliminalo - e svuota il cestino, e qualsiasi copia in una cartella sincronizzata. L’app te lo ricorda, ma non può farlo al posto tuo.
29. Posso condividere una password senza che venga conservata?
Sì, in una stanza. Con la tua cassaforte aperta, puoi condividere una nota, una password o un codice 2FA una sola volta: viene inviato sigillato, come Visualizza una volta, a una persona o alla stanza, e in una stanza in modalità Rigorosa possono riceverlo solo le persone verificate. Una volta chiuso non ne resta nulla da nessuna delle due parti, e nulla passa per il nostro server.
Condividere un codice 2FA invia solo il codice di quel momento, mai il segreto, quindi smette presto di funzionare. Quello che non può fare: impedire a qualcuno di fotografare lo schermo con un altro dispositivo, né impedire che un’app modificata conservi ciò che ha ricevuto.
Ultima revisione:
Chi siamo · Collabora con noi · Tutorial · Perché Obleevo · Condizioni · Privacy · Accessibilità · Cookie · Sicurezza · Modello di minaccia · Audit di sicurezza · Formato della cassaforte · Contatti · Novità
Obleevo è sviluppato da The House of Brendrof. Software proprietario, gratuito.