La risposta breve
Se la privacy è la priorità assoluta e siete disposti a cambiare abitudini:
- Modello di minaccia estremo (giornalista che protegge fonti, attivista in uno stato ostile, ricercatore di sicurezza): Qubes OS per uso quotidiano + Tails su USB separata per sessioni singole ad alto rischio.
- Focalizzati sulla privacy ma pratici (volete un computer dall'aspetto normale che non telefoni a casa): Linux Mint — ecosistema software compatibile Ubuntu, aggiunte di Canonical rimosse, default conservativi.
- Miglior OS commerciale per privacy: macOS Sequoia con Advanced Data Protection abilitata. Si applica la caveat closed-source, ma i default sono migliori di Windows e la sicurezza del dispositivo è eccellente.
- Dovete usare Windows per lavoro: Windows 11 Pro (non Home) con Group Policy, BitLocker, Firefox e un serio passaggio di indurimento. È possibile far girare un Windows 11 ragionevolmente privato — spendete solo un weekend a configurarlo, e deriva indietro ad ogni aggiornamento maggiore.
Tutto sotto è il dettaglio dietro questa classifica — cosa fa ogni OS per default, cosa potete cambiare e cosa non potete.
Windows 11 — la baseline anti-privacy
Windows 11 è la peggiore delle opzioni mainstream, non perché sia malizioso, ma perché il modello di business di Microsoft tratta l'OS come un prodotto di dati. Specifiche:
Requisito account. Windows 11 Home richiede un account Microsoft durante l'installazione. Le soluzioni alternative per account locali (il comando OOBE\BYPASSNRO, il trucco no@thankyou.com) continuano a essere patchate negli aggiornamenti cumulativi. Windows 11 Pro permette ancora account locali durante l'installazione se scegliete il percorso "domain join".
Telemetria. Due livelli: "Dati diagnostici necessari" (sempre attivi, non possono essere disabilitati tramite UI Impostazioni — Group Policy vi permette di restringerli, ma alcuni segnali fluiscono ancora) e "Dati diagnostici opzionali" (telemetria completa a livello di navigazione che potete disattivare ma è ATTIVA per default). Microsoft pubblica un dizionario dei dati, che è più di quello che fanno la maggior parte dei venditori di OS, ma la baseline è "Microsoft sa cosa state facendo".
Copilot + Recall. Recall (sui PC Copilot+ con NPU) scatta screenshot del vostro schermo ogni pochi secondi, li OCRizza e costruisce un indice locale ricercabile. Dopo il contraccolpo sulla sicurezza di giugno 2024, Microsoft l'ha reso opt-in, ha crittato il database e ha richiesto autenticazione Windows Hello per interrogarlo. La capacità sottostante rimane integrata nell'OS. Ogni aggiornamento maggiore riapre la domanda "Recall è davvero ancora opt-in?" Copilot stesso invia query ad Azure OpenAI a meno che non disabilitiate esplicitamente la funzione.
Default OneDrive. Le installazioni fresche reindirizzano silenziosamente i vostri Documents, Pictures e Desktop in %OneDrive%\ e iniziano a sincronizzare. Milioni di utenti hanno i loro file personali nel cloud di Microsoft senza prendere una decisione conscia di caricarli.
Edge + Bing. Il browser predefinito invia query a Bing. Edge ha funzioni privacy utili (blocco tracker, InPrivate) ma il suo comportamento predefinito include l'invio di URL al Defender SmartScreen di Microsoft.
Cosa potete fare. Windows 11 è l'OS più induribile perché c'è così tanto da spegnere:
- Installare con un account locale (Pro o un tweak del registry su Home)
- Eseguire O&O ShutUp10++ — una lista curata di oltre 100 toggle privacy con default "raccomandati". Applica modifiche Group Policy + registry che sopravvivono agli aggiornamenti.
- Disabilitare l'installazione OneDrive durante l'installazione, rimuoverlo completamente se inutilizzato
- Sostituire Edge con Firefox o Brave; cambiare ricerca predefinita a DuckDuckGo, Kagi o Startpage
- Disinstallare Cortana, Teams Consumer e le app Xbox se inutilizzate
- BitLocker (solo Pro) o VeraCrypt (Home) per FDE
- Group Policy: Configurazione Computer → Modelli Amministrativi → Componenti Windows → Raccolta Dati
Dopo questo passaggio, Windows 11 può essere reso approssimativamente privato quanto Ubuntu non modificato. La tassa continuativa è rivedere le vostre impostazioni dopo ogni Feature Update (20H2, 22H2, 23H2, 24H2 ciascuno ha reintrodotto alcuni comportamenti).
macOS Sequoia 15 — il miglior OS commerciale per privacy
macOS Sequoia è drasticamente migliore di Windows 11 per default, ma "migliore di Microsoft" non è lo stesso di "privato".
Telemetria di Apple — Analytics, Device Analytics e iCloud Analytics — sono spenti per default su un'installazione fresca nella UE (GDPR), attivi per default negli US (potete disabilitarli in Impostazioni → Privacy e Sicurezza → Analytics & Improvements). Apple pubblica la loro privacy policy e fa affermazioni specifiche sull'elaborazione on-device, ma non potete verificare indipendentemente queste affermazioni perché l'OS è closed-source.
Default iCloud. Foto, Contatti, Calendario e iCloud Drive si sincronizzano per default se accedete con un Apple ID. Messages in iCloud è spento a meno che non sia abilitato. Advanced Data Protection (iCloud crittato end-to-end per la maggior parte delle categorie — Foto, Note, Drive, backup) è opt-in e richiede iOS 16.2+ / macOS 13+ su tutti i vostri dispositivi. Apple attivamente lo de-enfatizza durante l'installazione perché abilitarlo significa che Apple non può recuperare i vostri dati se perdete l'accesso.
Siri + Spotlight. Le query vengono inviate ad Apple per risoluzione. Apple dice che sono anonimizzate e non collegate al vostro Apple ID. Potete disabilitare "Suggerimenti di ricerca da Apple" in Safari per fermare la digitazione nella barra URL dal raggiungere i server Apple.
Apple Intelligence (aggiunto 2024). Principalmente on-device per modelli più piccoli, ma alcune query vengono inviate all'infrastruttura "Private Cloud Compute" di Apple. PCC usa hardware attestato e binari pubblicati — un'architettura privacy genuinamente nuova. È opt-in nella UE, opt-in ovunque anche come di macOS 15.
Gatekeeper + code signing. Ogni app che eseguite ottiene un controllo di firma contro il servizio notary di Apple. Le app al primo avvio telefonano a casa con l'hash Developer ID — Apple può (in teoria) loggare cosa sta eseguendo ogni Mac e quando. Questa è una funzione di sicurezza (cattura app note-maligne) con costi privacy. sudo spctl --master-disable disattiva l'enforcement delle firme ma non è raccomandato.
Punti di forza.
- Apple Silicon + Secure Enclave = sicurezza dispositivo forte, sblocco biometrico legato all'hardware
- Le app App Store hanno etichette privacy (auto-attestate dallo sviluppatore, ma comunque superficiali info)
- Il modello di autorizzazioni è rigoroso — le app devono chiedere prima di leggere contatti, calendario, camera, microfono, posizione
- FileVault (FDE) è banale da abilitare e usa il Secure Enclave
- Nessun antivirus obbligatorio che telefona a casa
Punti deboli.
- Closed-source — le affermazioni sulla privacy sono parola di Apple
- Gli opt-out iCloud sono sparsi attraverso pannelli Impostazioni
- L'installazione Advanced Data Protection è ricca di attrito (Apple attivamente la rende più difficile da abilitare)
- Lock-in hardware — se vi importa abbastanza della privacy da verificarla, probabilmente volete essere su un Linux che potete auditare
Installazione pratica. Installazione fresca → rifiutare analytics opzionali → abilitare FileVault → abilitare Advanced Data Protection se tutti i vostri dispositivi lo supportano → installare Firefox → non accedere a iCloud finché non avete deciso esattamente quali categorie sincronizzare.
Ubuntu 24.04 LTS — il Linux popolare
Ubuntu è la distribuzione Linux più distribuita sui desktop e una baseline privacy ragionevole. Canonical ha storia mista su questo argomento.
La lente Amazon del 2013. Per un breve periodo, la ricerca Dash di Ubuntu Unity inviava query ad Amazon per "lenti" risultati-shopping. Questo ha scatenato una crisi di fiducia durata anni nella comunità. La funzione è stata rimossa in 16.04 e Canonical non l'ha ripetuta. Vale la pena sapere perché colora come si sentono gli utenti Linux di lunga data riguardo Ubuntu.
Telemetria attuale.
- Ubuntu Report — un riassunto hardware/software anonimo una tantum inviato durante l'installazione. Opt-in; vedete il prompt prima che giri.
- Apport — crash reporting. Spento per default sui rilasci; optate in per crash.
- Livepatch — patch kernel a caldo. Opt-in; richiede un abbonamento Ubuntu Advantage.
- PopCon — concorso popolarità pacchetti. Spento per default.
- Telemetria Snap — lo snap store di Canonical raccoglie conteggi installa/aggiorna. Meno invasivo della telemetria browser ma comunque una chiamata a Canonical per ogni installazione snap.
Schermi nag ubuntu-advantage-tools. Le versioni Ubuntu recenti hanno aggiunto prompt "motd" quando fate SSH o aprite un terminale, pubblicizzando Ubuntu Pro. Fastidioso ma non un problema privacy (nessun dato in uscita). Rimosso o silenziato in 24.04 impostando ENABLED=0 in /etc/default/ubuntu-advantage-tools.
Snap vs apt. Ubuntu 22.04+ spedisce Firefox come pacchetto snap. Lo snap store parla ai server di Canonical; i pacchetti apt tradizionali parlano a qualsiasi mirror abbiate configurato. Se l'instradamento "tutto attraverso Canonical" vi infastidisce, passate al pacchetto apt Firefox ppa:mozillateam/ppa, o installate Firefox direttamente da flatpak.
Punti di forza. Open-source, auditabile, selezione pacchetti massiva, ottimo supporto hardware, Wayland per default in 22.04+, GNOME 46 con default privacy ragionevoli.
Punti deboli. Gli interessi commerciali di Canonical a volte puntano ai dati utente; la telemetria Snap è inevitabile se usate snap; i nag branding "Ubuntu Advantage" sono visibili.
Installazione pratica. Installazione fresca → rifiutare Ubuntu Report → disabilitare Apport → disabilitare PopCon → sostituire Snap Firefox con apt Firefox o Flatpak → abilitare LUKS FDE durante l'installazione → Firefox con uBlock Origin.
Fedora 41 — il Linux upstream-first
Fedora è la distribuzione community di Red Hat (IBM), usata come upstream per RHEL. Per la privacy è simile a Ubuntu con alcune differenze.
Nessun equivalente Canonical. Red Hat / IBM non pubblicizzano un abbonamento "Advantage" agli utenti desktop; le licenze enterprise vivono su RHEL, non Fedora. Nessun schermo nag, nessun prompt aggiornamento forzato.
Telemetria predefinita. Minimale. Fedora Report (un censimento hardware) viene introdotto in 42 — dibattito community in corso, stato attuale è opt-in. ABRT (crash reporting) è opt-in; vedrete una notifica quando succede un crash e potete decidere se sottometterlo.
SELinux enforcing per default. Questa è una funzione sicurezza, non privacy di per sé — contiene exploit a livello processo quindi un'app compromessa non può leggere tutto sul vostro sistema. Ubuntu usa AppArmor per lo stesso scopo ma in una postura default più permissiva. SELinux è più rigoroso.
Flatpak + dnf. I package manager di Fedora. I flatpak Flathub parlano al CDN Flathub (non un segnale telemetria, solo un download); dnf parla ai mirror Fedora.
Wayland first. Ogni desktop spin (GNOME, KDE, XFCE, ecc.) spedisce con Wayland come sessione predefinita, che ha migliore isolamento tra app GUI di X11 (le app non possono screenshot / keystroke-sniff l'una l'altra).
Punti di forza. Nessun pattern commerciale stile Canonical, SELinux enforcing, tracking upstream veloce (kernel/Mesa/GNOME sono tutti più nuovi di Ubuntu).
Punti deboli. Bleeding-edge può significare "qualcosa si è rotto per una regressione driver"; ciclo supporto 13-mesi per rilascio vs i 5 anni di Ubuntu LTS.
Installazione pratica. Installazione fresca → rifiutare crash report (ottenete un prompt la prima volta che uno si attiva) → abilitare LUKS durante l'installazione → Firefox è pre-installato e non un flatpak su Fedora Workstation.
Linux Mint 22 — il miglior Linux privato-per-default
Linux Mint è il debloat di Ubuntu di lunga durata. Prendono upstream Ubuntu LTS, rimuovono le aggiunte di Canonical, sostituiscono il desktop con Cinnamon (o Xfce / MATE), e lo spediscono. Quello che ottenete:
Nessun Snap per default. Mint esplicitamente rimuove snap e blocca apt dall'installare il daemon snap. Firefox è installato come pacchetto apt regolare dal PPA di Mozilla. Nessun schermo nag.
Nessun Ubuntu Report, nessun ubuntu-advantage-tools. Mint disabilita o disinstalla i bit Canonical-commercial.
Nessuna telemetria. Mint stesso non telefona a casa. Il crash reporting è spento. L'update manager parla al mirror di Mint per aggiornamenti — traffico package-manager standard — ma non riporta uso.
Fallback LMDE. Se volete una versione Canonical-free di Mint, LMDE (Linux Mint Debian Edition) usa Debian Stable come base. Esperienza desktop identica, upstream diverso.
Cinnamon. Un fork GNOME che prioritizza un desktop tradizionale simile a Windows. Meno "moderno" di GNOME, meno keyboard-driven di KDE, ma approcciabile per utenti che passano da Windows.
Punti di forza. I default privacy più conservativi di qualsiasi distribuzione mainstream. Comunità enorme. Stabile. Buon supporto hardware tramite base Ubuntu.
Punti deboli. Più lento ad adottare nuova tecnologia (Wayland è ancora opt-in come di Mint 22, defaulting a X11). Cinnamon ha meno contributori di GNOME o KDE. Upstream Ubuntu significa che ereditate i bug di Ubuntu, solo non la sua telemetria.
Installazione pratica. Installazione fresca → abilitare LUKS durante l'installazione → aggiornare → installare Firefox (già lì) + uBlock Origin → fatto. Mint è la distribuzione dove "installare e usare" vi dà una postura privacy ragionevole senza lavoro ulteriore.
Qubes OS 4.2 — compartimentazione come modello di minaccia
Qubes è nella sua categoria. Invece di cercare di rendere un OS più privato, Qubes assume che qualsiasi sistema singolo sarà compromesso e isola il raggio di esplosione usando virtualizzazione.
Come funziona. Qubes gira su bare metal via l'hypervisor Xen. Ogni "VM" (chiamata qube nella loro terminologia) esegue un userspace Linux usa e getta — tipicamente template Fedora o Debian. Quando cliccate un allegato email, si apre in una DisposableVM che viene distrutta dopo averla chiusa. Il vostro banking succede nella sua AppVM con accesso rete solo alla vostra banca. Navigare link casuali succede in una qube Whonix-Workstation che instrada attraverso Tor.
Il costo UX. Copy-paste tra qube richiede una scorciatoia tastiera esplicita (Ctrl+Shift+V) che conferma il trasferimento. I file spostati tra qube vanno attraverso un dialogo FileCopy dedicato. Perdete l'assunzione "tutto funziona sullo stesso desktop" di un OS normale — ma guadagnate confini sicurezza reali.
Proprietà sicurezza.
- Un exploit browser nella qube lavoro non può raggiungere file nella qube personale.
- Un lettore PDF compromesso non può esfiltare il vostro crypto wallet.
- Una chiavetta USB inserita è montata in una qube sys-usb dedicata — se è carica di malware, colpisce la VM usa e getta, non dom0 (il dominio controllo fidato).
- dom0 non ha accesso internet affatto; non potete letteralmente eseguire un browser su dom0.
Requisiti hardware. Minimo 16 GB RAM (Qubes raccomanda 16 GB), 32 GB pratici. SSD veloce (NVMe preferito). CPU Intel con VT-x + VT-d; laptop specifici sono sulla lista compatibilità hardware (Thinkpad più nuovi, Framework, System76 Oryx Pro).
Integrazione Tor via Whonix. Out of the box, Qubes spedisce con template Whonix — un setup due-VM dove una VM fa routing Tor e l'altra esegue il vostro browser, senza modo per il browser di apprendere l'IP reale anche se completamente exploitato. Migliore architettura Tor a parte Tails.
Punti di forza. Modello sicurezza gold-standard per utenti alta minaccia. Open-source. Snowden e giornalisti alto-valore lo usano pubblicamente.
Punti deboli. Curva apprendimento ripida (2-4 settimane per diventare comodi). Requisiti hardware pesanti. Supporto hardware limitato — liste laptop specifiche piuttosto che "la maggior parte dell'hardware moderno". Nessun software commerciale; siete solo su app Linux.
Installazione pratica. La guida installazione di Qubes stessa è eccellente. Budgetate un weekend per la prima installazione e apprendimento del modello qube. Abbinate con un laptop compatibile (controllate la loro lista HCL — non comprate hardware casuale).
Tails 6.x — sessioni amnesiche su USB
Tails (The Amnesic Incognito Live System) è un OS live basato su Debian che avvia da USB e dimentica tutto quando spegnete. Ogni connessione in uscita è forzata attraverso Tor — se un bug in un'app cerca di fare una connessione diretta, fallisce piuttosto che perdere.
Come lo usate. Avviate una macchina target da USB Tails. Usatela. Riavviate. Il disco rigido della macchina non viene mai toccato (a meno che non optiate in esplicitamente). Nessuna traccia della sessione rimane da nessuna parte tranne nella memoria umana.
Archiviazione persistente. Opt-in, sulla stessa USB, crittata con LUKS. Vi permette di tenere una cartella specifica, impostazioni bridge Tor e una lista breve di app attraverso riavvi. Tutto il resto rimane amnesico.
Routing Tor. Tutto il traffico. Nessun "split tunnel", nessuna "esenzione basata su dominio". Le app che non possono usare Tor semplicemente non possono connettersi. Questo è rigoroso e occasionalmente fastidioso (alcune videoconferenze si rompono, la maggior parte dei siti banking bloccano le uscite Tor) ma è la proprietà sicurezza.
Punti di forza. Amnesico per design — una USB smarrita non perde la vostra sessione. Tor per default — nessun modo di perdere accidentalmente il vostro IP reale. Superficie attacco piccola — stack software minimale. Ben-mantenuto da un nonprofit.
Punti deboli. Non un sistema operativo principale. Avviare da USB è più lento. La selezione software è intenzionalmente limitata. La latenza Tor rompe molti servizi commerciali. Nessuno stato sistema persistente attraverso riavvi a meno che non optiate in.
Migliore per.
- Attraversare confini (riavviare in OS normale prima delle dogane)
- Incontrare fonti giornalistiche
- Ricercare un argomento sensibile che non dovrebbe co-mescolarsi con la vostra identità quotidiana
- Qualsiasi sessione dove "cosa state facendo ora non deve essere collegabile a chi siete il resto del tempo"
Installazione pratica. Scaricate Tails da tails.net, verificate la firma (critico), flashate su USB ≥ 8 GB, avviate macchina target da esso (può richiedere tweak BIOS/UEFI). Impostate una password admin se dovete eseguire comandi sudo durante la sessione.
Tabella comparativa
| OS | Telemetria (default) | Account richiesto | Open source | FDE default | Cloud default | Punteggio privacy |
|---|---|---|---|---|---|---|
| Windows 11 Home | Sempre-attiva + solo opt-out | Sì (Microsoft) | No | A volte (auto Device Encryption) | OneDrive attivo | ★☆☆☆☆ |
| Windows 11 Pro | Riducibile via Group Policy | No (opzione domain join) | No | Sì (BitLocker) | OneDrive attivo | ★★☆☆☆ |
| macOS Sequoia | Opt-out nella UE, attivo per default US | Raccomandato (Apple ID) | No | No (utente deve abilitare FileVault) | iCloud attivo per Foto | ★★★☆☆ |
| Ubuntu 24.04 | Solo opt-in a tempo installazione | No | Sì | Opzionale all'installazione | Nessuno (telemetria snap) | ★★★★☆ |
| Fedora 41 | Report crash opt-in | No | Sì | Opzionale all'installazione | Nessuno | ★★★★☆ |
| Linux Mint 22 | Nessuno | No | Sì | Opzionale all'installazione | Nessuno | ★★★★★ |
| Qubes OS 4.2 | Nessuno | No | Sì | Sì (LUKS obbligatorio) | Nessuno | ★★★★★ |
| Tails 6.x | Nessuno | No | Sì | Vol persistente opzionale | Nessuno (instradato Tor) | ★★★★★ |
(Le stelle sono un composto approssimativo di "carico telemetria + penalità closed-source + FDE default + lock-in cloud". Non l'unica cosa che importa — un Windows 11 Pro indurito può essere più privato di un'installazione Ubuntu sciatta.)
La nostra raccomandazione per caso d'uso
1. Consumatore attento alla privacy che ha anche bisogno di software mainstream (Adobe, gaming, Office, Zoom, ecc.). Windows 11 Pro con BitLocker + O&O ShutUp10++ + Firefox + account locale. O dual-boot Windows per le app che lo richiedono e Linux Mint per tutto il resto.
2. Knowledge worker, sviluppatore, studente, scrittore. Linux Mint con LUKS + Firefox + uBlock Origin. Il novanta percento dei workflow Windows/macOS mappano pulitamente su Mint. LibreOffice per la maggior parte dei documenti, OnlyOffice se avete bisogno di migliore compatibilità Microsoft Office.
3. Creatore contenuti / designer che usa Adobe Creative Cloud. macOS Sequoia con FileVault + Advanced Data Protection + Firefox. Il supporto Adobe è reale su macOS; è difficile su Linux (Wine/Bottles funziona per alcune app, non tutte). Le prestazioni Apple Silicon sul lavoro video sono genuinamente le migliori delle tre opzioni commerciali.
4. Giornalista / attivista / ricercatore che gestisce materiale sensibile. Qubes OS su hardware compatibile per lavoro quotidiano + Tails su USB per sessioni singole alto rischio. Usate dispositivi fisici separati per "identità pubblica" vs "identità lavoro sensibile" se possibile.
5. Sessione occasionale alto rischio (attraversare confine, incontrare fonte, ricercare argomento). Tails su USB, avviato su macchina pulita, spento dopo. Non ri-usate l'USB attraverso scenari rischio diversi senza pulire il volume persistente.
6. Nonno che impara ad usare un computer. ChromeOS su Chromebook per semplicità, O Linux Mint Cinnamon se c'è qualche membro famiglia che può fare installazione iniziale. Evitate Windows 11 Home — la sola installazione account Microsoft è confusa e il lavoro pulizia non ne vale la pena per un utente leggero.
Cosa usiamo effettivamente
Piena divulgazione: il team ipdrop.io usa un mix — macOS per contenuto/design/lavoro quotidiano, Linux Mint su macchina separata per sviluppo/lavoro sensibile, e una USB Tails in un cassetto che viene usata forse 3-4 volte all'anno. Qubes lo rispettiamo ma non usiamo quotidianamente — l'attrito è reale e il nostro modello di minaccia non lo richiede.
Qualsiasi cosa scegliate, la mossa privacy più importante non è l'OS — è abilitare la cifratura completa disco, usare un password manager e non mescolare identità sensibili nel vostro browser quotidiano. La scelta OS è la cornice; le abitudini sono il quadro.
Correlati
- Privacy Checklist — 20 passi per auditare i vostri account
- Cos'è una VPN? — il livello sopra l'OS per privacy rete
- Email Crittata — Proton Mail, Tutanota, Mailbox.org comparati
- Archiviazione File Crittata — Proton Drive, Tresorit, Sync.com comparati
- Proton Pass vs Bitwarden — approfondimento password manager