LocalSend è sicuro? La risposta onesta e le riserve che contano

LocalSend è arrivato primo in una ricerca sulle alternative ad AirDrop. Stai quindi per installare un'app che ascolta sulla tua rete e accetta file. Fermarsi un momento è legittimo. LocalSend è un progetto open source ben costruito, ed è sicuro per l'uso ordinario. Le riserve riguardano il tuo Wi-Fi, non l'app.

LocalSend è sicuro ogni giorno su una rete affidabile

Tre proprietà fanno qui tutto il lavoro, e ciascuna elimina un modo in cui uno strumento di trasferimento può andare storto.

• LocalSend pubblica l'intero codice sorgente con licenza Apache 2.0. Il progetto è ospitato su GitHub, quindi chiunque sappia leggere il codice può verificare a cosa si connette.
• Un file inviato con LocalSend attraversa la tua rete fino all'altro dispositivo, quindi nessuna azienda ne conserva una copia. Niente viene caricato, quindi nessun servizio può essere violato o rivenduto.
• LocalSend cifra ogni trasferimento in HTTPS, con un certificato che ogni dispositivo genera da solo. Un'altra macchina che osserva lo stesso Wi-Fi vede dati cifrati, non le tue foto.

LocalSend non richiede account e funziona senza internet

Altre due proprietà vale la pena conoscere.

• LocalSend non richiede alcun account, nessun indirizzo email e nessun tipo di accesso. Niente su di te viene registrato, quindi non ci sono credenziali che possano trapelare.
• LocalSend continua a funzionare quando internet è staccato, perché un trasferimento usa sempre e solo la rete locale. Gli basta il Wi-Fi su cui si trovano entrambi i dispositivi.

Niente di tutto questo rende LocalSend privo di rischi. Le parti che dipendono da te arrivano più sotto.

Camera to Clipboard finisce in un incolla, LocalSend in un file

Camera to Clipboard è la nostra app, e non è un concorrente di LocalSend. LocalSend invia un file in una cartella. Camera to Clipboard invia una foto negli appunti.

• Camera to Clipboard mette una foto del telefono negli appunti del computer invece che in una cartella. Premi Ctrl + V o Cmd + V nel documento che hai aperto.
• LocalSend ti lascia un file tra le mani, il che è la forma giusta quando è proprio un file quello che vuoi conservare. Archiviare foto, spostare un video, passare un PDF a qualcuno, LocalSend è fatto per questo.
• Camera to Clipboard fa passare la foto sul tuo Wi-Fi, senza caricare nulla. Le due app usano internet solo per trovarsi a vicenda. Funziona anche l'hotspot del telefono, perché i dati mobili collegano le due app.

Camera to Clipboard non richiede account e non è open source

Una comodità e un limite onesto vanno insieme qui.

• Camera to Clipboard si accoppia una sola volta scansionando un codice QR e non richiede né account né indirizzo email. Dopodiché, inviare una foto richiede solo due tocchi.
• Il codice sorgente di Camera to Clipboard non è pubblicato, quindi nessuno dall'esterno può leggerlo come chiunque può leggere quello di LocalSend. In cambio, l'app tiene la foto sulla tua rete.

Il codice aperto permette a chiunque di controllare LocalSend

"È open source" è la frase che si ripete su LocalSend senza mai dire cosa porta davvero.

• Un codice sorgente pubblicato permette di verificare un'affermazione come "LocalSend non carica nulla" invece di crederci e basta. La parte del programma che apre connessioni di rete è lì, leggibile, con tutti gli indirizzi che può contattare.
• Nascondere un caricamento segreto dentro LocalSend sarebbe molto difficile da far passare inosservato. Chiunque può leggere il codice sorgente, e chiunque può osservare dal router con chi parla un programma.
• Open source non significa che LocalSend sia stato controllato da professionisti della sicurezza pagati per farlo. Un codice pubblicato invita all'esame ma non può garantirlo. Essere disponibile ed essere ispezionato sono due cose diverse.

Il codice chiuso non si verifica, il codice aperto non si toglie

Due conseguenze derivano dal poter leggere il codice oppure no.

• Un'app di trasferimento a codice chiuso può essere giudicata solo dall'esterno, fidandosi della parola di chi la pubblica. Molti prodotti chiusi sono affidabili. È semplicemente una verifica che ti resta preclusa.
• Un progetto open source come LocalSend può essere ripreso e continuato se chi lo mantiene lo abbandona. Il codice non può essere ritirato, quindi un progetto aperto abbandonato pone un problema minore.

I file di LocalSend non escono mai dalla tua rete locale

"Solo locale" è l'altra frase che si ripete. È il punto di forza principale della sicurezza di LocalSend, ed è l'origine del suo limite principale.

• Un file inviato da LocalSend attraversa il tuo Wi-Fi da un dispositivo all'altro e si ferma lì. I due dispositivi parlano direttamente, quindi niente viene depositato su un server.
• Dato che LocalSend non usa alcun server, non esiste una copia salvata dei tuoi file che una futura intrusione potrebbe esporre. I servizi cloud conservano il tuo file almeno per un po', e tutto ciò che viene conservato può trapelare.
• LocalSend trasferisce normalmente anche quando il tuo router non ha connessione a internet. Un'app che caricasse i tuoi file di nascosto fallirebbe questo test, e ci vuole un minuto per farlo.

LocalSend non attraversa le reti né l'isolamento client

Lo stesso progetto che protegge i tuoi file ne limita anche la portata.

• LocalSend non esce mai dalla rete locale, quindi non può inviare nulla a un dispositivo in un altro edificio. È un limite, non un difetto, ed è il motivo principale per cui le persone guardano altrove.
• I Wi-Fi di hotel, campus e aziende che separano i dispositivi impediscono a LocalSend di vedere l'altro dispositivo. Si chiama isolamento client, e mette fuori gioco tutti gli strumenti di trasferimento locale. Usa invece l'hotspot del telefono.

LocalSend annuncia il tuo dispositivo e il suo nome a tutta la rete

Questo punto conta, e non riguarda internet. LocalSend deve rendere il tuo dispositivo rintracciabile prima che qualsiasi cosa possa raggiungerlo. In una rete di sconosciuti, questo cambia il significato di "rintracciabile".

• LocalSend annuncia il tuo dispositivo sulla rete locale, quindi chiunque altro abbia LocalSend aperto lì lo vede comparire nella propria lista. È così che le due estremità si trovano senza che tu digiti un solo indirizzo.
• Il nome del dispositivo che scegli in LocalSend viene mostrato a tutti gli altri sulla rete, quindi non usare il tuo nome completo. Su un Wi-Fi condiviso, quel nome è tutto ciò che uno sconosciuto sa di te.
• L'impostazione Quick Save di LocalSend accetta un file in arrivo senza chiedere nulla, quindi lasciala disattivata su una rete non affidabile. Altrimenti, uno sconosciuto sul Wi-Fi di un hotel può depositare un file direttamente nei tuoi download.

Disattiva Quick Save e imposta un PIN su reti sconosciute

Tre impostazioni decidono cosa può fare uno sconosciuto su quel Wi-Fi.

• Con Quick Save disattivato, un trasferimento LocalSend inviato da uno sconosciuto non può arrivare finché non premi Accetta. Quella conferma è tutta la difesa che hai su una rete non affidabile.
• LocalSend può richiedere un PIN prima di accettare un file, cosa che vale la pena attivare su un laptop che vive sul Wi-Fi dell'ufficio. Questo conta soprattutto su una macchina che lasci accesa.
• Niente in LocalSend espone il tuo dispositivo al resto di internet, quindi l'unica domanda è chi altro c'è sul tuo Wi-Fi. Una rete domestica fatta di persone che conosci non ha bisogno di nessuna delle precauzioni sopra.

Installa LocalSend dal sito del progetto o da uno store

L'unico vero pericolo di questa pagina non ha niente a che fare con il codice aperto. Un nome popolare attira imitatori, e una pagina di download è facile da contraffare.

• Il vero LocalSend viene da localsend.org, dalle versioni pubblicate sul GitHub del progetto, o da uno store di app. È distribuito tramite App Store, Google Play, F-Droid, Homebrew, Flathub e winget, e ciascuno verifica l'editore.
• Il nome molto conosciuto di LocalSend lo rende un bersaglio per una versione falsa che chiunque può compilare con lo stesso nome. Il codice aperto non è il punto debole. Un sito di download raggiunto da una pubblicità lo è.
• LocalSend non ha aggiornamento automatico, ed è per questo che il progetto consiglia di installarlo da uno store o un gestore di pacchetti. Questi canali ti portano la nuova versione da soli.
• Verificare che un installer di LocalSend venga davvero dal progetto richiede dieci secondi ed elimina l'unico rischio serio dell'installazione. Guarda la barra degli indirizzi prima di cliccare.

L'avviso del firewall al primo avvio di LocalSend è normale

Molte persone arrivano qui perché Windows o macOS ha mostrato un avviso proprio nel momento in cui hanno aperto l'app. Quell'avviso è il sistema operativo che fa il suo lavoro.

• Che Windows chieda di autorizzare LocalSend ad attraversare il firewall al primo avvio è previsto, perché un'app che riceve file deve ascoltare le connessioni. Uno strumento che non facesse mai scattare questa domanda non potrebbe ricevere nulla.
• Quando il firewall di Windows chiede conferma su LocalSend, spunta le reti private e lascia vuota la casella delle reti pubbliche. Questo lo mantiene funzionante a casa e silenzioso sul Wi-Fi di un bar.
• La richiesta di macOS che chiede se LocalSend può accettare connessioni di rete in entrata pone la stessa domanda con un altro nome. Consentirla è ciò che permette agli altri dispositivi di vedere il Mac.

SmartScreen giudica la rarità, un blocco ferma LocalSend in ricezione

Altri due avvisi di Windows meritano di essere letti bene.

• Un avviso SmartScreen di Windows su un installer di LocalSend riguarda quante volte Windows ha già visto quel file, non qualcosa trovato al suo interno. Installare con winget evita del tutto la domanda.
• Bloccare LocalSend nel firewall di solito lo lascia in grado di inviare ma non di ricevere. Se un trasferimento funziona solo in un senso, controlla di nuovo la risposta che avevi dato al firewall.

Blip tiene il codice chiuso e richiede un indirizzo email

Blip è lo strumento a cui si confronta più spesso LocalSend. I due differiscono per natura, non solo per rifinitura.

• Blip è un prodotto commerciale il cui codice sorgente non è pubblicato, quindi la sua sicurezza può essere giudicata solo dall'esterno. La verifica del codice descritta sopra semplicemente non è alla tua portata.
• LocalSend è un progetto open source della community pubblicato con licenza Apache 2.0, con l'intero codice sorgente su GitHub. Chiunque può leggerlo, compilarlo, derivarne una versione o segnalare un problema in pubblico.
• Blip richiede un indirizzo email e un codice di verifica durante l'installazione, mentre LocalSend non richiede proprio nulla. Un indirizzo collega i tuoi dispositivi a un'identità che l'azienda conserva poi.

Blip attraversa internet e vende una licenza alle aziende

Quattro differenze derivano dal fatto che Blip sia un prodotto commerciale.

• Blip può inviare tra due dispositivi che non si trovano affatto nello stesso posto, cosa che LocalSend non sa fare. Inviare file a un computer in un'altra città è la ragione onesta per scegliere Blip.
• Blip afferma che un trasferimento avviene direttamente tra i due dispositivi e usa i propri server solo se il collegamento diretto fallisce. LocalSend non ha questa possibilità, perché non esce mai dal tuo Wi-Fi.
• Blip gira su Windows, macOS, Android e iOS, con una versione Linux ancora in sviluppo, mentre LocalSend copre già Linux. Per una casa con un computer Linux, questo basta a decidere.
• Blip è gratis per uso personale e vende una licenza alle organizzazioni, mentre LocalSend è gratis per tutti. Nessuno dei due modelli è sospetto, ma rispondono in modo diverso alla domanda su come sopravvive il progetto.

Se sicurezza significa poter verificare cosa fa un'app, LocalSend vince nettamente. Se significa inviare un file in un'altra città, Blip lo sa fare e LocalSend no.

LocalSend è qui l'unico strumento con codice leggibile da tutti

Ecco le quattro domande da porre a qualsiasi strumento di trasferimento, applicate a LocalSend e ai suoi tre rivali abituali.

Invia un file con LocalSend, una foto con Camera to Clipboard

Niente in questa pagina è un motivo per evitare LocalSend. La scelta dipende dal lavoro che stai facendo.

• LocalSend è lo strumento giusto per inviare file di qualsiasi tipo tra i tuoi dispositivi. Installalo su entrambi i lati e smetti di cercare.
• LocalSend resta perfetto sul Wi-Fi di un hotel o di un ufficio se Quick Save è disattivato e accetti ogni trasferimento. Quella singola impostazione decide se sconosciuti possono raggiungere la tua cartella download.
• Blip è la scelta migliore quando i due dispositivi non sono nello stesso posto, perché LocalSend non attraversa le reti. Scambi una verifica del codice che puoi fare tu stesso con la portata.

Scegli Camera to Clipboard per le foto, LocalSend dal suo sito

Un'ultima scelta, e l'avvertimento che conta di più.

• Camera to Clipboard è la scelta migliore quando le foto del telefono finiscono tutto il giorno in documenti, email e chat. Incollare evita di dover cercare il file scaricato.
• Scaricare LocalSend da un risultato di ricerca o da una pubblicità invece che dal progetto è ciò che renderebbe LocalSend davvero pericoloso. Tutto il resto in questa pagina è un'impostazione. Questo è un altro programma con lo stesso nome.

Domande frequenti sulla sicurezza di LocalSend

È sicuro usare LocalSend?
Sì, per i trasferimenti quotidiani su una rete affidabile. Il codice sorgente è pubblicato e leggibile da tutti, e i file vanno direttamente da un dispositivo all'altro sulla tua rete. Ogni trasferimento è cifrato in HTTPS, e non serve alcun account. Installalo dal progetto o da uno store di app, e lascia Quick Save disattivato su un Wi-Fi che non controlli.

Altre persone sullo stesso Wi-Fi vedono il mio dispositivo LocalSend?
Sì. LocalSend si annuncia sulla rete locale, quindi chiunque altro abbia LocalSend aperto lì vede il tuo dispositivo con il nome che gli hai dato. Sulla tua rete domestica, è esattamente quello che vuoi. Sul Wi-Fi di un hotel o di un ufficio, disattiva Quick Save e scegli un nome che non sia il tuo nome completo.

LocalSend è un virus, e perché il mio firewall mi avvisa?
LocalSend non è un virus, e un avviso del firewall al primo avvio è previsto. Un'app che riceve file deve ascoltare le connessioni in entrata, ed è esattamente quello che chiede il firewall. Consentilo sulle reti private e lascia deselezionate le reti pubbliche. Il vero rischio è una copia proveniente da un sito clone invece che da localsend.org, dalle versioni pubblicate su GitHub o da uno store di app.

LocalSend o Blip, quale è più sicuro?
Richiedono forme di fiducia diverse. LocalSend pubblica il proprio codice sorgente, non richiede alcun account e non invia mai nulla oltre la tua rete locale. Blip è un prodotto commerciale a codice chiuso che richiede un indirizzo email durante l'installazione, e un trasferimento Blip può attraversare internet. Se verificare il codice da solo è quello che per te significa essere sicuro, scegli LocalSend.