Il vostro Mac e il vostro PC Windows tengono un diario di tutto ciò che fate: come leggerlo e come spegnerlo

Il vostro computer tiene un diario su di voi, e non è la cronologia del browser. macOS annota quale app avevate davanti e per quanto, al secondo, quando lo schermo si è acceso e spento, quali siti ha aperto Safari e quali notifiche sono arrivate; su macOS 26 lo fa in due posti, un database chiamato knowledgeC e 118 flussi "Biome" che coprono appunti, Wi-Fi, posizione e richieste a Siri. Windows registra ogni programma avviato dal menu Start con un contatore e un orario, gli ultimi otto avvii di ogni eseguibile, un mese di traffico di rete per app e, sui PC Copilot+, screenshot ogni pochi secondi. Niente di tutto questo lascia la macchina di default, il che rassicura quanto preoccupa, perché chi ottiene la macchina ottiene il diario. Qui sotto: che cosa viene conservato, uno script per sistema per leggere la propria copia e che cosa si può spegnere.

Che cosa ricorda un Mac e come leggerlo

La comunità forense Apple documenta knowledgeC.db dal 2018, quando la ricercatrice Sarah Edwards lo descrisse come la migliore fonte di "pattern of life" su un Mac. È l'archivio dietro Tempo di utilizzo e i suggerimenti di Siri. Ogni riga della tabella ZOBJECT è un evento con un nome di flusso, un inizio e una fine: /app/usage è l'app in primo piano e per quanto tempo, /display/isBacklit lo schermo che si accende o si spegne, /app/webUsage e /safari/history la navigazione, /notification/usage ciò che vi ha avvisato. Sul nostro Mac di prova con macOS 26.6 il database conteneva 757 eventi, quattro settimane indietro per l'uso delle app e cinque mesi per alcuni flussi. Riportava 113 ore in Chrome, 5,7 nel Terminale, 2,4 in Telegram e una cronologia completa di quando lo schermo era acceso, fino a una sessione di tre minuti alle 21:25 di un venerdì. Da macOS Catalina, Apple ha spostato gran parte di questo in Biome, un framework che Howard Oakley nel 2022 descrisse come il meccanismo dietro i suggerimenti: ~/Library/Biome/streams contiene una cartella per flusso, e i nomi dei flussi sono l'elenco di ciò che viene osservato: App.InFocus, App.WebUsage, Pasteboard.Change, Device.Wireless.WiFi, Location.MicroLocationVisit, Notification.Usage, Media.NowPlaying, Siri.Query, ProactiveHarvesting.Safari.PageView, ProactiveHarvesting.Mail, ProactiveHarvesting.Messages, ProactiveHarvesting.Notes, ScreenTime.AppUsage, TextUnderstanding.Deletions.Document. I file Biome usano un formato binario chiamato SEGB; gli strumenti forensi lo leggono, l'utente comune no, ma presenza e dimensione si verificano facilmente.

Lo script qui sotto copia il database in una cartella temporanea (macOS blocca il file attivo) e stampa il riepilogo. Date prima al Terminale l'Accesso completo al disco (Impostazioni di Sistema, Privacy e sicurezza, Accesso completo al disco) e toglietelo dopo se non vi serve: è quel permesso che consente a qualsiasi app di leggere il diario.

#!/bin/bash
# What this Mac remembers about you. Read-only.
T=$(mktemp -d)
cp ~/Library/Application\ Support/Knowledge/knowledgeC.db* "$T"/ 2>/dev/null || { echo "No access: give Terminal Full Disk Access first"; exit 1; }
DB="$T/knowledgeC.db"
echo "== Time in focus per app, last 7 days (hours)"
sqlite3 -column "$DB" "SELECT ROUND(SUM(ZENDDATE-ZSTARTDATE)/3600.0,1) AS hours, ZVALUESTRING AS app FROM ZOBJECT WHERE ZSTREAMNAME='/app/usage' AND ZSTARTDATE > strftime('%s','now','-7 days')-978307200 GROUP BY app ORDER BY hours DESC LIMIT 15;"
echo "== Screen on/off, last 15 events (local time)"
sqlite3 -column "$DB" "SELECT datetime(ZSTARTDATE+978307200,'unixepoch','localtime') AS at, CASE ZVALUEINTEGER WHEN 1 THEN 'on' ELSE 'off' END AS screen, ROUND((ZENDDATE-ZSTARTDATE)/60.0) AS minutes FROM ZOBJECT WHERE ZSTREAMNAME='/display/isBacklit' ORDER BY ZSTARTDATE DESC LIMIT 15;"
echo "== Every stream in the database: records and oldest entry"
sqlite3 -column "$DB" "SELECT ZSTREAMNAME AS stream, COUNT(*) AS records, datetime(MIN(ZSTARTDATE)+978307200,'unixepoch') AS oldest FROM ZOBJECT GROUP BY 1 ORDER BY 2 DESC;"
echo "== Biome streams that hold data"
for d in ~/Library/Biome/streams/restricted/*/local; do n=$(ls "$d" 2>/dev/null | grep -c '^[0-9]'); [ "$n" -gt 0 ] && echo "$(basename "$(dirname "$d")"): $n file(s), $(du -sh "$d" | cut -f1)"; done
rm -rf "$T"

Come ridurre su un Mac

Apple non offre alcun interruttore con scritto "smetti di registrare". Esistono le funzioni che si nutrono di questi registri, e ciascuna si può spegnere. Tempo di utilizzo è quella ovvia: Impostazioni di Sistema, Tempo di utilizzo, disattivatelo se non lo usate e smetterà di costruire il proprio database di utilizzo. I suggerimenti di Siri sono la fonte maggiore: Impostazioni di Sistema, Apple Intelligence e Siri, "Suggerimenti di Siri e privacy", e lì per ogni app disattivate "Impara da questa app" e "Mostra suggerimenti di Siri nell'app"; è l'impostazione che il testo di Apple descrive come "consenti a Siri di imparare da come usi questa app". Gli archivi knowledgeC e Biome continuano a esistere per le esigenze del sistema, quindi il secondo passo è cancellarli quando volete ripartire puliti: nel Terminale eseguite rm ~/Library/Application\ Support/Knowledge/knowledgeC.db* e rm -r ~/Library/Biome/streams/*, poi riavviate; macOS ricrea archivi vuoti. Il terzo passo conta più dei primi due. Aprite Impostazioni di Sistema, Privacy e sicurezza, Accesso completo al disco e leggete l'elenco: ogni app presente può leggere il diario e tutto il resto nella vostra cartella Inizio. Tenete FileVault attivo, fate bloccare lo schermo dopo pochi minuti e date agli ospiti un account separato; i registri sono per utente, e un Mac bloccato e cifrato non li consegna a nessuno.

Che cosa ricorda Windows e come leggerlo

Windows distribuisce il diario in più punti, ciascuno documentato dagli esaminatori forensi perché ciascuno sopravvive a ciò che l'utente considera una cancellazione. UserAssist, una chiave di registro in HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist, registra ogni programma avviato dal menu Start o da Esplora file con un contatore di avvii, un contatore di focus e l'ora dell'ultimo avvio; i nomi sono memorizzati in ROT13, uno scorrimento di lettere che non nasconde nulla a chi lo conosce. Prefetch, in C:\Windows\Prefetch, tiene un file per eseguibile con gli ultimi otto avvii, fino a 1.024 programmi. SRUM, il System Resource Usage Monitor in C:\Windows\System32\sru\SRUDB.dat, è il registro dietro la "Cronologia applicazioni" di Gestione attività: circa un mese di byte inviati e ricevuti ed energia consumata, per applicazione, che guardiate o no. La Cronologia attività, in ActivitiesCache.db nel profilo locale, conserva app, file e siti aperti; Microsoft ha tolto l'opzione di caricarla nel gennaio 2024, ma la copia locale resta. E sui PC Copilot+, Recall scatta "uno snapshot dello schermo attivo ogni pochi secondi e quando il contenuto della finestra attiva cambia", indicizza testo e immagini e li conserva localmente dietro Windows Hello. È facoltativo e rimosso di default sui dispositivi gestiti, si può filtrare per app e per sito; resta un film ricercabile di tutto ciò che avete guardato.

# What this PC remembers about you. Read-only. Run PowerShell as administrator for Prefetch and Recall.
function Rot13([string]$s){ -join ($s.ToCharArray() | ForEach-Object { $c=[int]$_; if($c -ge 65 -and $c -le 90){[char]((($c-65+13)%26)+65)} elseif($c -ge 97 -and $c -le 122){[char]((($c-97+13)%26)+97)} else {[char]$c} }) }
Write-Host "== UserAssist: programs started from Start or Explorer (runs, last run)"
Get-ChildItem 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist' | ForEach-Object {
  $count = Join-Path $_.PSPath 'Count'
  if (Test-Path $count) {
    (Get-ItemProperty $count).PSObject.Properties | Where-Object { $_.Name -notlike 'PS*' -and $_.Value -is [byte[]] -and $_.Value.Length -ge 68 } | ForEach-Object {
      $b = $_.Value; $runs = [BitConverter]::ToInt32($b, 4); $ft = [BitConverter]::ToInt64($b, 60)
      if ($runs -gt 0 -and $ft -gt 0) { [pscustomobject]@{ Runs=$runs; LastRun=[DateTime]::FromFileTime($ft); Program=(Rot13 $_.Name) } }
    }
  }
} | Sort-Object LastRun -Descending | Select-Object -First 25 | Format-Table -AutoSize
Write-Host "== Prefetch: last 20 programs Windows saw start"
Get-ChildItem C:\Windows\Prefetch -Filter *.pf -ErrorAction SilentlyContinue | Sort-Object LastWriteTime -Descending | Select-Object -First 20 Name, LastWriteTime | Format-Table -AutoSize
Write-Host "== Activity history and SRUM databases"
Get-ChildItem "$env:LOCALAPPDATA\ConnectedDevicesPlatform" -Recurse -Filter ActivitiesCache.db -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Get-Item C:\Windows\System32\sru\SRUDB.dat -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Write-Host "== Recall (Copilot+ PCs only)"
Get-WindowsOptionalFeature -Online -FeatureName Recall -ErrorAction SilentlyContinue | Select-Object FeatureName, State

Come ridurre su Windows, e la parte che non è tecnica

Quattro impostazioni coprono quasi tutto. Impostazioni, Privacy e sicurezza, Generale: disattivate "Consenti a Windows di migliorare i risultati di Start e della ricerca tenendo traccia degli avvii delle app"; così finiscono le nuove voci di UserAssist, e quelle vecchie restano finché non cancellate le chiavi Count sotto UserAssist nell'Editor del Registro. Impostazioni, Privacy e sicurezza, Cronologia attività: disattivate "Archivia la cronologia attività in questo dispositivo" e premete "Cancella cronologia". Su un PC Copilot+, Impostazioni, Privacy e sicurezza, Recall e snapshot: disattivate il salvataggio degli snapshot e cancellateli, oppure rimuovete del tutto la funzione in "Attiva o disattiva funzionalità di Windows", il che, secondo Microsoft, cancella tutti gli snapshot salvati. Prefetch e SRUM non hanno interruttore: Prefetch si può disattivare nel registro al prezzo di avvii più lenti, e SRUM viene ricostruito dal Servizio criteri di diagnostica appena il suo file viene rimosso. Come sul Mac, la difesa che regge è BitLocker o la cifratura del dispositivo con un accesso robusto e uno schermo che si blocca, più un account standard separato per chiunque altro usi la macchina.

Da tutto questo seguono due cose per chi tiene alla privacy. La prima: "solo in locale" è una promessa sul cloud, non su di voi. Apple e Microsoft hanno ragione che questi archivi non lasciano il dispositivo, e restano comunque la registrazione più completa della vostra giornata che esista da qualche parte. La seconda: lo stesso permesso che vi consente di leggerli lo consente a qualsiasi strumento, ed è per questo che dare a un assistente IA l'Accesso completo al disco o i diritti di amministratore perché "analizzi le vostre abitudini", come suggeriscono i prompt virali, significa spedire quattro settimane della vostra vita al modello che risponde. Leggete il diario da soli; gli script qui sopra bastano.