Session, sviluppata dalla Oxen Privacy Tech Foundation, si posiziona come un messenger incentrato sulla privacy che va oltre la maggior parte dei concorrenti eliminando completamente il requisito del numero di telefono. Quando si installa Session, l'app genera localmente una coppia di chiavi crittografiche e assegna all'utente un Session ID — una lunga stringa alfanumerica che funge da identità. Non esiste una registrazione dell'account nel senso tradizionale, e durante la configurazione non vengono raccolte informazioni di identificazione personale.
Architettura di sicurezza
Session utilizza il Signal Protocol come base, ma lo modifica in modo significativo. La differenza più rilevante è la rimozione del componente di perfect forward secrecy dell'algoritmo Double Ratchet. Session adotta un modello di scambio di chiavi più semplice per adattarsi al proprio sistema di consegna dei messaggi decentralizzato e asincrono. Si tratta di un vero compromesso: pur consentendo l'archiviazione dei messaggi offline sulla rete di nodi, significa che le chiavi di sessione non ruotano con la stessa frequenza di Signal. I ricercatori di sicurezza hanno identificato questo aspetto come una riduzione significativa della protezione crittografica, e i potenziali utenti dovrebbero valutarlo di conseguenza.
I messaggi vengono instradati attraverso la Oxen Service Node Network utilizzando un sistema di onion routing a tre hop, concettualmente simile a Tor. Questo oscura gli indirizzi IP e rende l'analisi del traffico sostanzialmente più difficile rispetto ai messenger centralizzati. Tuttavia, le dimensioni e la velocità della rete non possono ancora eguagliare la maturità di Tor, e la consegna dei messaggi può risultare lenta nei periodi di alto carico.
Usabilità
L'interfaccia è pulita e in gran parte familiare a chiunque abbia utilizzato WhatsApp o Telegram. Le funzionalità di base, tra cui testo, messaggi vocali, condivisione di immagini, messaggi a scomparsa e chat di gruppo, funzionano tutte come previsto. Le chiamate vocali e video sono disponibili, ma storicamente si sono dimostrate meno affidabili rispetto all'esperienza core di messaggistica testuale. Il client desktop è funzionale, sebbene la sincronizzazione tra i dispositivi richieda una frase di recupero anziché la scansione di un codice QR, il che aggiunge un attrito durante la configurazione.
Il sistema dei Session ID, pur essendo eccellente per la privacy, rappresenta un vero ostacolo in termini di usabilità. Condividere una stringa esadecimale di 66 caratteri con un nuovo contatto risulta scomodo rispetto alla condivisione di un nome utente o di un numero di telefono. L'app affronta parzialmente questo problema con i nomi utente ONS (Oxen Name System) in formato leggibile, che vengono mappati ai Session ID dietro un piccolo pagamento.
Prezzi e valore
Session è gratuito da scaricare e utilizzare, senza livelli di abbonamento o acquisti in-app. La registrazione di un nome utente ONS richiede una piccola quantità di criptovaluta OXEN, il che introduce un ostacolo minore per gli utenti non tecnici. Non esiste un livello a pagamento che sblocchi funzionalità aggiuntive, mantenendo le protezioni della privacy uniformi per tutti gli utenti.
Pratiche sulla privacy
Il progetto è trasparente riguardo alle proprie pratiche sui dati. Il codice open-source consente ai ricercatori di verificare le affermazioni in modo indipendente, e la fondazione pubblica documentazione sulla propria architettura di rete. L'assenza di server centrali che archiviano il contenuto dei messaggi o i metadati degli utenti rappresenta un vantaggio strutturale in termini di privacy rispetto a quasi tutte le alternative tradizionali.