Come crittografare la banda larga mobile: metodi e best practice
Crittografia a strati per dati cellulari
La banda larga mobile (4G/5G) crittografa il traffico dell'interfaccia radio per impostazione predefinita (AES-128/256), ma la protezione end-to-end richiede strati aggiuntivi.
1. Livello rete: IPsec
Crittografa i pacchetti IP tra dispositivo e gateway. Usato nelle VPN aziendali. Configura sul dispositivo o tramite MDM.
2. Livello trasporto: TLS/SSL (HTTPS)
Protegge il traffico app/web. Assicurati che le app usino solo HTTPS (ATS su iOS, Network Security Config su Android).
3. Tunneling VPN
- IPsec/IKEv2: Nativo su iOS/macOS/Windows; buono per always-on.
- WireGuard: Moderno, veloce, auditato — app per tutte le piattaforme.
- OpenVPN: Ampiamente supportato, TCP/443 evita i blocchi.
- VPN commerciali: Mullvad, Proton, IVPN — no-logs, kill switch.
4. Crittografia a livello SIM
Alcuni operatori offrono crittografia basata su SIM (es. per IoT) che protegge IMSI, Ki e chiavi OTA. Non configurabile dall'utente.
5. Crittografia dispositivo (a riposo)
- iOS: Crittografia basata su file (sempre attiva).
- Android: FBE (File-Based Encryption) + StrongBox/Keymaster.
- Attiva blocco schermo e biometria.
6. Messaggistica crittografata
Signal, WhatsApp, Threema, Wire — E2EE per testi, chiamate, file.
7. Crittografia DNS
- DoH (DNS over HTTPS): Firefox, Chrome, Android 10+, iOS 14+.
- DoT (DNS over TLS): DNS privato Android, Unbound.
Stack di best practice
- Crittografia dispositivo + password forte.
- VPN WireGuard sempre attiva verso endpoint attendibile.
- App vincolate a HTTPS + certificate pinning.
- DNS privato (NextDNS/Cloudflare 1.1.1.1).
- Messaggero E2EE per comunicazioni sensibili.
La crittografia è forte solo quanto la gestione delle chiavi e la disciplina dell'utente — aggiorna l'OS, evita Wi-Fi pubblico senza VPN, non fare root/jailbreak.