Come sapere se una VPN è affidabile

Tutte le VPN cercano, in qualche modo, di presentarsi come il servizio più sicuro per gli utenti. Ma è davvero così? Un normale utente di internet può essere sicuro che una VPN lo protegga davvero?

Ci sono molti fattori da considerare quando si sceglie una VPN: velocità, prezzo, funzionalità e, non da ultimo, sicurezza. Per molti, quest’ultimo punto è probabilmente il più importante di tutti. Che si tratti di superare un firewall nazionale come la Great Wall Of China o semplicemente di proteggersi da inserzionisti troppo curiosi durante la navigazione, molte persone ripongono la loro fiducia nella VPN per proteggere la propria privacy.

I provider di servizi internet hanno accesso ai dati di navigazione dei loro abbonati e, fino all’avvento del protocollo HTTPS, erano quasi onniscienti. Oggi sono ancora in grado di vedere quali siti vengono visitati senza conoscere i dettagli della navigazione all’interno del sito.

Negli Stati Uniti, dal 2017 i provider sono autorizzati a vendere i dati dei propri utenti senza aver prima ottenuto il loro consenso. Anche se in Italia il quadro normativo è molto più severo rispetto all’altra sponda dell’Atlantico, le nostre ISP sono obbligate a conservare “dati tecnici” e metadati come:

• Link
• L’ID utente
• La data, l’ora e il luogo delle comunicazioni
• Dati che consentono di identificare il destinatario di un messaggio

Devi tenere presente che utilizzare una VPN non significa semplicemente nascondere il tuo traffico agli ISP, ma semplicemente spostare il problema e affidare questi dati a un’altra entità che può decidere o meno di conservarli o utilizzarli. Per scegliere una VPN che non faccia nessuna delle due cose, devi porti le seguenti domande.

1. Attenzione alle VPN gratis

Le VPN gratuite sono spesso la prima opzione presa in considerazione dagli utenti di internet alla ricerca di una navigazione più sicura. Spesso si buttano sui primi risultati di Google o degli store di applicazioni, pensando che un gran numero di download o il primo posto nei motori di ricerca sia sinonimo di affidabilità e fiducia. Le VPN gratuite sono generalmente limitate in un modo o nell’altro, nel migliore dei casi in termini di funzionalità e velocità, nel peggiore sacrificando la tua privacy. Molti preferiscono quest’ultima soluzione ma devi sapere che:

• Il 60% dei primi 30 risultati della ricerca “VPN” nell’App Store sono applicazioni legate ad aziende cinesi.
• L’86% di queste applicazioni ha politiche di riservatezza deplorevoli, alcune delle quali dichiarano esplicitamente di condividere i dati degli utenti con aziende cinesi.
• Il 64% delle applicazioni non ha un sito web dedicato o una presenza online a parte la pagina dell’applicazione sull’App Store.
• Il 52% ha un indirizzo email personale generico (Gmail, Hotmail, Yahoo, ecc.).
• L’83% delle email inviate all’assistenza clienti sono state ignorate.

I processi di approvazione delle applicazioni di Apple e Google non sono quindi in grado di esaminare i servizi VPN, lasciando all’utente il compito di giudicare i servizi offerti. In generale, le VPN gratuite dovrebbero essere evitate per non avere brutte sorprese.

2. Domicilio e politica no-log

La politica no-log è la regola della sicurezza quando si parla di VPN. Un provider che applica una rigorosa politica di no-log non conserverà alcuna traccia dei tuoi dati sui suoi server. A seconda del paese di residenza, una VPN conserverà i dati in varie forme:

• Dati di connessione con dettagli tecnici come il server a cui l’utente si è connesso, la sua larghezza di banda, l’indirizzo IP fornito dalla VPN, ecc.
• L’indirizzo IP (fornito dal tuo ISP).
• Traffico internet, come la cronologia dei download e della navigazione, gli acquisti online, ecc.

Questi dati vengono spesso recuperati in base alle leggi sulla conservazione dei dati, come quelle citate all’inizio dell’articolo. Molti paesi hanno leggi simili e ci sono persino alleanze tra paesi il cui scopo principale è quello di condividere i dati dei propri cittadini:

• La “Five-Eyes” che comprende Australia, Canada, Nuova Zelanda, Regno Unito e Stati Uniti.
• La “Nine-Eyes”, che comprende i paesi sopra citati oltre a Francia, Danimarca, Paesi Bassi e Norvegia.
• La “14-Eyes”, che riunisce i paesi sopra elencati più Germania, Belgio, Italia, Svezia e Spagna.

Va da sé che le VPN domiciliate in questi 14 Paesi sono da evitare assolutamente se non vuoi che i tuoi dati vengano potenzialmente controllati da una quindicina di governi.

Ma a quali Paesi dovresti rivolgerti? Ci sono diversi paesi che non hanno leggi sulla conservazione dei dati. Questi Eden della privacy si trovano spesso nell’Europa dell’Est o in territori insulari. Anche se questo elenco non è esaustivo, dovrebbe consentire di tracciare una mappa dei paesi sicuri per le VPN: Argentina, Brasile, Bulgaria, Cipro, Repubblica Ceca, Islanda, Panama, Romania, Serbia, Taiwan e Ucraina.

Questi paesi hanno una legislazione che consente l’applicazione di una rigida politica di no-log, arrivando talvolta a dichiarare incostituzionale la conservazione dei dati.

3. La memoria RAM, la migliore amica dei server VPN

Quando si tratta di proteggere la privacy, l’esecuzione dei server VPN su memoria ad accesso casuale (RAM) invece che sui tradizionali dischi rigidi e SSD rimane il modo migliore per garantire che nessun dato venga salvato all’insaputa degli utenti. Questi server sfruttano la volatilità della memoria per garantire che i dati non vengano salvati. L’uso della RAM significa che ogni volta che il server viene riavviato, tutti i dati memorizzati vengono semplicemente cancellati, senza alcun rischio di recupero come avverrebbe sui dischi di archiviazione tradizionali.

Sebbene questo metodo sia un po’ brutale e richieda la reinstallazione del software necessario al corretto funzionamento della VPN a ogni riavvio del server, garantisce che nessun dato esca dal server per qualsiasi motivo: richiesta delle autorità, fuga di dati, ecc. Poche VPN hanno adottato la RAM per i loro server, poiché l’installazione può essere costosa a seconda delle dimensioni dell’infrastruttura.

4. Protocolli di connessione

I protocolli di connessione sono il fulcro del funzionamento di una VPN: forniscono il collegamento tra un dispositivo e un server, proteggendo i dati in transito. Ogni protocollo ha i suoi vantaggi e svantaggi, ma alcuni sono più sicuri di altri.

OpenVPN e Wireguard sono dei buoni riferimenti. Entrambi questi protocolli offrono il loro codice online, in modo che chiunque possa verificarne la sicurezza e l’affidabilità e individuare eventuali difetti. Sono piuttosto diffusi e la maggior parte dei provider li ha integrati nei propri servizi.

5. Crittografia

La maggior parte delle VPN oggi utilizza la crittografia AES-256, un protocollo di crittografia molto diffuso nel mondo informatico e che ha dimostrato la sua validità, essendo stato approvato e utilizzato dalla NSA. Pertanto, soddisfa perfettamente i requisiti di sicurezza delle VPN e per questo motivo è molto diffuso.

6. Il Kill Switch, il pulsante di arresto di emergenza VPN

Kill Switch è una funzione che interrompe istantaneamente la connessione a Internet non appena il collegamento tra il dispositivo e il server viene compromesso. In questo modo si evita che i dati dell’utente vengano rivelati in caso di disconnessione. Le VPN dotate di questa funzione spesso la attivano di default, ma alcune lasciano la possibilità di disattivarla.

7. Il servizio ha già subito una fuga di dati?

Une bonne politique de non-journalisation et des serveurs équipés de mémoire vive volatile minimisent grandement les risques liées à une fuite de données. Toutefois, ces évènements peuvent laisser les utilisateurs inquiets sur la capacité du service à les protéger et il est donc normal de douter des VPN en ayant déjà été victime par le passé, surtout si l’ampleur est importante.

8. Quali sono i metodi di pagamento disponibili?

Ammettiamolo: pagare con carta di credito o Paypal non è il massimo dell’anonimato. I servizi che accettano Bitcoin o altre criptovalute per le transazioni sono generalmente più sicuri perché non hanno bisogno di registrare, nemmeno temporaneamente, tutte le informazioni personali che i metodi di pagamento tradizionali divulgano.

9. Un audit sulla sicurezza parla chiaro

Una VPN che dichiara di utilizzare tutte le tecnologie citate e di applicare una politica no-log deve comunque dimostrare di funzionare correttamente. Per dimostrare le proprie credenziali, i provider spesso si rivolgono a enti indipendenti per effettuare audit di sicurezza. In altre parole, sottopongono la loro infrastruttura a una valutazione da parte di un’azienda terza. Questi audit vengono generalmente effettuati in più occasioni da enti riconosciuti nel loro campo, come PricewaterhouseCoopers (PwC).

10. Gli impegni politici e sociali del fornitore

Anche se questa non è indispensabile, interessarsi alle azioni dei fornitori di VPN e ai valori che difendono può aiutare ad accertare le loro motivazioni di fondo. Diverse VPN fanno parte di coalizioni e gruppi che si battono per difendere la neutralità della rete, il diritto alla privacy e la libertà di espressione. Ne sono un esempio la VPN Trust Initiative, la Electronic Frontier Foundation e la Internet Society.

Se stai cercando una VPN sicura che risponda a tutti i requisiti, CyberGhost, il nostro partner del giorno, dovrebbe soddisfare le tue esigenze. Con sede in Romania, Cyberghost VPN applica una rigorosa politica no-log e dispone di un’infrastruttura dotata di server RAM. Offre tutti i protocolli di connessione e crittografia di cui abbiamo parlato, oltre al pagamento in Bitcoin. Infine, Cyberghost non ha mai subito fughe di dati.