La última vez escribí sobre la huella digital que su dispositivo revela sobre usted incluso cuando se oculta detrás de una VPN. Recibí muchas preguntas al respecto, principalmente si una VPN todavía tiene sentido. Lo hace, y mucho. Simplemente necesita saber exactamente qué hace y qué no hace y, sobre todo, cuál elegir y cómo configurarlo para que funcione como espera.
Lo que realmente hace una VPN
Piense en una VPN como un automóvil opaco con diferentes matrículas que lo lleva a su destino por otra ruta. El sitio web al que se dirige solo ve esa nueva placa de matrícula, no la real. Su conexión se cifra y se envía a través del servidor VPN, y sólo desde allí continúa. Por lo tanto, su proveedor de Internet no puede ver lo que está viendo, sólo que está viajando a través de una VPN. Y el sitio de destino no ve su dirección IP real ni la ubicación aproximada que describí en el artículo anterior; ve la dirección del servidor VPN.
Lo que eso no significa es esto: una VPN no le hace invisible. Es una matrícula diferente, no una persona diferente. La huella digital de su dispositivo, que describí la última vez, lienzo, tarjeta gráfica, chip de audio, resolución, permanece exactamente igual desde cualquier lugar desde el que esté conectado. Las cookies y las cuentas iniciadas tampoco desaparecen. Si ha iniciado sesión en su correo electrónico, el sitio web aún sabe quién es usted; simplemente piensa que está sentado en otro lugar. Una VPN aborda una cosa específica: quién puede ver su conexión y de dónde parece venir. No aborda quién es.
No todas las VPN son iguales: qué preguntar
Casi todos los proveedores de VPN afirman que no almacenan nada. Eso es marketing hasta que alguien lo verifica de forma independiente, y más de una vez la promesa y la realidad han divergido. PureVPN es un caso de libro de texto: durante años la compañía anunció que no mantenía “registros” de la actividad de los usuarios, sin embargo, en 2017 proporcionó al FBI en los Estados Unidos tiempos de conexión, uso de datos y direcciones IP que ayudaron a identificar a una persona específica. Esos registros operativos existieron todo el tiempo; simplemente no fueron mencionados en la publicidad. De esto extraigo una lección sencilla, y se la transmito a ustedes también: la afirmación “no almacenamos nada” tiene valor sólo cuando alguien independiente la ha verificado y cuando también coincide con lo que es técnicamente posible en primer lugar.
Que lo contrario también puede ser cierto lo demuestra un caso que me gusta tanto más porque terminó exactamente de manera opuesta. En abril de 2023, la policía llegó a la oficina del proveedor Mullvad en Gotemburgo (Suecia) con una orden de registro y quería confiscar ordenadores que contenían datos de clientes. Se fueron con las manos vacías, porque en primer lugar no existían tales datos en Mullvad, ya que no los almacena desde el principio. Ésa es precisamente la cuestión: los datos que nunca llegan a existir no pueden entregarse, sin importar quién los solicite. Por eso recomiendo elegir un proveedor que someta su minimización de datos a auditorías independientes y que esté ubicado en un lugar donde pueda dormir tranquilo, no uno que se limite a hacer promesas.
A la hora de elegir, pregunte por cuatro aspectos. En primer lugar, si la política de “no registros” se verifica mediante una auditoría independiente y no simplemente está escrita en los términos de uso. En segundo lugar, si la VPN tiene el llamado interruptor de interrupción, una protección que bloquea todo el tráfico en el momento en que se corta la conexión VPN para que nadie le vea desprotegido en ese instante. En tercer lugar, si protege contra filtraciones a través de WebRTC, una tecnología de videollamada basada en navegador que puede revelar su dirección real incluso cuando utiliza una VPN; Ya lo mencioné la última vez. Y cuarto, dónde tiene su sede la empresa y qué leyes se le aplican. Tener un domicilio social en un país con una fuerte protección de la privacidad es una ventaja, pero con un proveedor de calidad, lo que ha sido verificado mediante una auditoría es más importante que la dirección que figura en la tarjeta de presentación. Personalmente recomiendo Proton VPN o Mullvad; ambos tienen auditorías independientes y un interruptor de apagado. Con Mullvad, el interruptor de apagado está permanentemente activado y no se puede desactivar. Con Proton VPN, habilítelo en la configuración después de la instalación.
Errores que despojan a una VPN de su valor
El problema más común no es una mala VPN sino una VPN mal configurada. Cuatro cosas se repiten una y otra vez. Fuga de DNS: la VPN cifra su tráfico, pero las consultas sobre qué sitio realmente desea abrir pueden salir del túnel directamente al servidor de su proveedor de Internet. El resultado es peculiar: el contenido de la página está oculto, pero los sitios que usted solicitó permanecen visibles. El segundo problema es la fuga de WebRTC, que mencioné anteriormente. Si la VPN no cubre todo el tráfico del dispositivo, normalmente cuando la VPN es sólo una extensión del navegador o cuando el tráfico está dividido, su dirección real puede filtrarse a través de WebRTC fuera del túnel.
El tercero es el llamado túnel dividido, es decir, tráfico dividido en el que intencionada o accidentalmente permite que parte de sus aplicaciones se ejecuten fuera de la VPN. Es útil, por ejemplo, para una impresora en su red doméstica, pero si su navegador se queda ahí por error, la VPN ya no protege lo principal. El cuarto es un interruptor de apagado olvidado. Sin él, en el momento en que la VPN se cae por un segundo, su dispositivo cambia silenciosamente a una conexión normal y desprotegida, y es posible que no lo note en absoluto.
Cómo comprobarlo usted mismo en cinco minutos. Primero, con la VPN apagada, averigüe su dirección IP real; simplemente escriba "cuál es mi IP" en su navegador. Después, active la VPN y repita la misma consulta; la dirección debe cambiar. A continuación, utilice sitios especializados como browserleaks.com o ipleak.net, ambos accesibles sin registro, y consulte específicamente las secciones DNS y WebRTC; su dirección real no debe aparecer allí. Finalmente, pruebe el interruptor de apagado deliberadamente: encienda la VPN, luego fuerce el cierre de su aplicación o apague y encienda el Wi-Fi. Si el interruptor de apagado funciona, su Internet debería cortarse por completo por un momento en lugar de continuar silenciosamente sin protección.
Cuando una VPN no le ayudará
La VPN es el coche opaco con matrículas diferentes a las de la introducción. Impide que alguien vea su interior mientras está en camino, pero no impide que reconozca su caminar una vez que sale. Esa es exactamente la huella digital del dispositivo del artículo anterior; una VPN no le hace nada porque opera en un nivel completamente diferente. Del mismo modo, una VPN no protege contra el phishing, es decir, correos electrónicos fraudulentos y sitios que le persuaden a introducir su contraseña usted mismo, ni contra el software malicioso que ya ha llegado al dispositivo. Y si ha iniciado sesión en un sitio, una VPN no oculta su identidad en ese sitio de ninguna manera. Tanto usted como el servicio lo saben; solo que todos los demás no lo hacen.
Viajar cambia el panorama
Para los clientes que viajan con frecuencia, tengo una nota más. En algunos países, utilizar una VPN no aprobada es un asunto legalmente delicado. En China, por ejemplo, está restringido por la legislación local, y con un dispositivo de la empresa, sin duda vale la pena considerar el riesgo de antemano, no sólo una vez que esté allí. La solución suele ser sencilla: una VPN corporativa para acceso al trabajo y una VPN personal para privacidad son dos cosas diferentes, y es aconsejable no mezclarlas, especialmente en un viaje de negocios. Y, con diferencia, la situación más común que encuentro con los clientes es la conexión Wi-Fi de hoteles o aeropuertos. Allí una VPN es algo natural, no por ley, sino porque en una red pública poco segura alguien puede intentar espiar o configurar una red suplantada. Hoy en día, HTTPS suele proteger el contenido, pero sigue siendo visible con qué servicios se está comunicando. Actívelo antes de iniciar sesión en cualquier cosa.
que hacer hoy
Elija una VPN auditada; Proton VPN o Mullvad son un buen lugar para empezar. Active el kill switch (interruptor de corte): con Mullvad funciona automáticamente; con Proton VPN lo encontrará en la configuración. Después compruebe que su dirección real no se filtra por ninguna parte, por ejemplo en browserleaks.com o ipleak.net. La prueba solo confirma su configuración actual, así que repítala tras actualizar la aplicación o cambiar de dispositivo. Y trate una VPN como una capa entre varias, no como una cura milagrosa que resuelve todo de una vez. Después de todo, eso se aplica a la seguridad en general, tanto digital como física.
"La mejor VPN es aquella que funciona sin exigir su atención. Funciona silenciosamente en segundo plano, exactamente como una protección adecuada".— Robert Václavík
