On 2017-03-30 15:05, lucha wrote:
> On 30/03/17 14:45, torn wrote:
>> Spezzo il filone "instant messaging" del thread precedente, ma il punto
>> di partenza è un po' il link di martino [1], che guarda al panorama dei
>> sistemi di IM concludendo che nessuno è un'alternativa soddisfacente.
>> Ciò che più si avvicina alla soluzione è Signal, che purtroppo rimane un
>> servizio centralizzato.
>
> Scusa, non per fare polemica, mi sembra un sacco interessante quel che
> state facendo e non vedo l'ora di sentire il vostro talk ad Hackmeeting,
> ma mi pare che questa conclusione "Signal è il meno peggio" è tua, non
> del link [1] (vedi sotto).
L'articolo chiaramente alla fine spinge XMPP+OMEMO, il "Signal è meno
peggio" era riferito ai sistemi non-XMPP. Però è vero, l'articolo non si
sbilancia così esplicitamente, tuttavia ci sono dei fatti oggettivi che
vanno considerati.
Intanto Signal è l'unico sistema dove tutto il codice è disponibile:
client, server e librerie varie. Negli altri casi o è tutto
proprietario, o è libero solo il client, che non è molto interessante.
Poi ci sono delle scelte di sviluppo buone, non solo fatte con l'ottica
di scriverci sopra "Private". Un esempio: il server non ha il concetto
di "gruppo". I gruppi vivono solo nei client, quindi il server non ha
mai accesso al delicatissimo metadato "gruppo".
> Perché invece il protocollo federato c'è già (XMPP), per cui la domanda
> naturale è: cosa offre una versione "liberata" di Signal che non offrono
> XMPP & conversations?
La domanda è giusta. Ci sono secondo me alcune differenze sostanziali
anche rispetto all'ideale (XMPP+OMEMO):
- La barriera d'ingresso è bassissima e la logica d'uso corrisponde a
ciò che l'utente si aspetta oggi. In particolare l'utente non deve
crearsi una nuova identità, ma lega un'identità che già ha (il numero di
telefono) ad un servizio. Ricordi il thread "siamo sul pezzo?" di mesi fa?
- Dal punto precedente segue che esiste automaticamente una rete
sociale: è la tua rubrica di contatti.
- Il protocollo è pensato dal principio per comunicazioni private,
criptate e che non perdano metadati in giro. Il risultato è che:
funziona(tm). Hai provato ad usare davvero Conversations? Qui abbiamo
provato più di una volta, con buona volontà di riuscirci, ma ne siamo
usciti un po' frustrati alla fine.
- Se per capire se ti posso scrivere con OMEMO devo consultare una roba
tipo [1] c'è qualcosa che non va. Ah e devo anche sapere che client usi.
Certo si può pensare che tra un po' il supporto diverrà più diffuso e il
problema non ci sarà più. Se però però metti un server SMTP, la obblighi
la crittografia verso gli altri MTA?
C'è poi una "evidenza sperimentale": nel giro di qualche giorno da
quando il servizio l'abbiamo usato pure troppo, cosa non successa con
XMPP. Non so se ne ho indovinato il motivo, però il fenomeno non si può
negare, e se dobbiamo credere che "the most dangerous enemy of a better
solution is an existing codebase that is just good enough" [2] allora
XMPP non è neanche "good enough".
Guarda un po' cosa dice l'admin di jabber.org [3]:
"If someone like Sam's friend told me they wanted to find a secure
messaging service, I'd tell them to just use Signal. So, at this point,
I wonder what we're doing here. :-)
[...]
Signal has beaten me to the punch, and as far as I can see they've done
a great job of it. So hats off to them!"
Avrei anch'io preferito usare XMPP, ci ho provato e non ne sono uscito
soddisfatto. Purtroppo non sono convinto che basti lavorare un po'
sull'usabilità, è la stessa cosa che si dice di PGP da 20 anni... non ha
funzionato.
Oh, poi magari sono tutte cazzate, però qua ci va di provare una nuova
strada :)
torn
[1]
https://gultsch.de/compliance_ranked.html
[2]
http://www.faqs.org/docs/artu/plan9.html
[3]
https://mail.jabber.org/pipermail/standards/2017-January/031903.html
