L'ultima volta ho scritto dell'impronta digitale che il tuo dispositivo rivela su di te anche quando ti nascondi dietro una VPN. Ho ricevuto moltissime domande a riguardo, soprattutto se una VPN abbia ancora senso. Lo fa, e molto. Devi semplicemente sapere esattamente cosa fa e cosa non fa, e soprattutto quale scegliere e come impostarlo affinché funzioni come pensi.
Cosa fa realmente una VPN
Pensa a una VPN come a un'auto opaca con targhe diverse che ti porta a destinazione seguendo un altro percorso. Il sito web a cui stai andando vede solo quella nuova targa, non quella reale. La tua connessione viene crittografata e inviata tramite il server VPN e solo da lì prosegue. Il tuo provider Internet quindi non può vedere ciò che stai visualizzando, ma solo che stai viaggiando attraverso una VPN. E il sito di destinazione non vede il tuo vero indirizzo IP o la posizione approssimativa che ho descritto nell'articolo precedente; vede l'indirizzo del server VPN.
Ciò che non significa è questo: una VPN non ti rende invisibile. Si tratta di una targa diversa, non di una persona diversa. L'impronta digitale del tuo dispositivo, che ho descritto l'ultima volta, tela, scheda grafica, chip audio, risoluzione, rimane esattamente la stessa ovunque tu sia connesso. Anche i cookie e gli account registrati non scompaiono. Se hai effettuato l'accesso alla tua email, il sito web sa comunque chi sei; pensa semplicemente che tu sia seduto da qualche altra parte. Una VPN si rivolge a una cosa specifica: chi può vedere la tua connessione e da dove sembra che tu provenga. Non si rivolge a chi sei.
Non tutte le VPN sono uguali: cosa chiedere
Quasi tutti i provider VPN affermano di non archiviare nulla. Questo è marketing finché qualcuno non lo verifica in modo indipendente, e più di una volta la promessa e la realtà si sono discostate. PureVPN è un caso da manuale: per anni l’azienda ha pubblicizzato di non tenere “nessun registro” dell’attività degli utenti, ma nel 2017 ha fornito all’FBI negli Stati Uniti tempi di connessione, utilizzo dei dati e indirizzi IP che hanno aiutato a identificare una persona specifica. Quei registri operativi esistevano da sempre; semplicemente non erano menzionati nella pubblicità. Ne traggo una semplice lezione e la trasmetto anche a voi: l'affermazione “non conserviamo nulla” ha valore solo se qualcuno indipendente l'ha verificata e quando corrisponde anche a ciò che è tecnicamente possibile in primo luogo.
Che possa essere vero anche il contrario lo dimostra un caso che mi piace tanto più perché si è concluso esattamente nel modo opposto. Nell'aprile 2023 la polizia è arrivata con un mandato di perquisizione presso l'ufficio del fornitore Mullvad a Göteborg, in Svezia, e voleva sequestrare i computer contenenti i dati dei clienti. Se ne sono andati a mani vuote, perché a Mullvad non esistevano dati del genere, che non li conservano fin dall'inizio. Il punto è proprio questo: i dati che non esistono mai non possono essere consegnati, indipendentemente da chi li richiede. Ecco perché consiglio di scegliere un fornitore che sottoponga la minimizzazione dei dati a controlli indipendenti e che abbia sede dove ti faccia dormire sonni tranquilli, non uno che si limiti a fare promesse.
Quando scegli, chiedi quattro cose. In primo luogo, se la politica “no-log” è verificata da un audit indipendente e non semplicemente scritta nei termini di utilizzo. In secondo luogo, se la VPN dispone del cosiddetto kill switch, una protezione che blocca tutto il traffico nel momento in cui la connessione VPN si interrompe, in modo che nessuno ti veda senza protezione in quel momento. In terzo luogo, se protegge dalle perdite tramite WebRTC, una tecnologia di videochiamata basata su browser che può rivelare il tuo vero indirizzo anche quando utilizzi una VPN; Ne ho già parlato l'altra volta. E in quarto luogo, dove ha sede l’azienda e quali leggi si applicano ad essa. Una sede legale in un paese con una forte protezione della privacy è un vantaggio, ma con un fornitore di qualità ciò che è stato verificato dall’audit conta più dell’indirizzo sul biglietto da visita. Personalmente consiglio Proton VPN o Mullvad; entrambi hanno controlli indipendenti e un kill switch. Con Mullvad il kill switch è permanentemente attivo e non può essere disabilitato. Con Proton VPN, abilitalo nelle impostazioni dopo l'installazione.
Errori che privano una VPN del suo valore
Il problema più comune non è una cattiva VPN ma una VPN mal configurata. Quattro cose ricorrono ancora e ancora. Perdita DNS: la VPN crittografa il tuo traffico, ma le domande su quale sito desideri effettivamente aprire potrebbero uscire dal tunnel direttamente al server del tuo provider Internet. Il risultato è peculiare: il contenuto della pagina viene nascosto, ma i siti richiesti rimangono visibili. Il secondo problema è la perdita di WebRTC, di cui ho parlato sopra. Se la VPN non copre tutto il traffico del dispositivo, in genere quando la VPN è solo un'estensione del browser o quando il traffico è suddiviso, il tuo indirizzo reale può fuoriuscire tramite WebRTC all'esterno del tunnel.
Il terzo è il cosiddetto split tunneling, ovvero traffico suddiviso in cui consenti intenzionalmente o accidentalmente che parte delle tue app venga eseguita al di fuori della VPN. È utile ad esempio per una stampante nella rete domestica, ma se per errore il browser viene lasciato lì, la VPN non protegge più l'essenziale. Il quarto è un kill switch dimenticato. Senza di essa, nel momento in cui la VPN si interrompe per un secondo, il tuo dispositivo passa silenziosamente a una connessione normale e non protetta e potresti non accorgertene affatto.
Come verificarlo tu stesso in cinque minuti. Innanzitutto, con la VPN disattivata, scopri il tuo vero indirizzo IP; digita semplicemente "qual è il mio IP" nel tuo browser. Quindi attiva la VPN e ripeti la stessa query; l'indirizzo deve cambiare. Successivamente, utilizza siti specializzati come browserleaks.com o ipleak.net, utilizzabili senza registrazione, e controlla nello specifico le sezioni DNS e WebRTC; il tuo vero indirizzo non deve apparire lì. Infine, prova deliberatamente il kill switch: attiva la VPN, quindi chiudi forzatamente la sua applicazione o disattiva e riattiva il Wi-Fi. Se il kill switch funziona, la tua connessione Internet dovrebbe interrompersi completamente per un momento anziché continuare tranquillamente senza protezione.
Quando una VPN non ti aiuta
La VPN è l'auto opaca con targhe diverse dall'introduzione. Impedisce a qualcuno di vedere dentro mentre sei in cammino, ma non impedisce di riconoscere i tuoi passi una volta uscito. Questa è esattamente l'impronta digitale del dispositivo dell'articolo precedente; una VPN non fa nulla perché opera a un livello completamente diverso. Allo stesso modo, una VPN non protegge dal phishing, ovvero da email e siti fraudolenti che ti inducono a inserire tu stesso la password, né da software dannosi che hanno già raggiunto il dispositivo. E se hai effettuato l’accesso a un sito, una VPN non nasconde in alcun modo la tua identità da quel sito. Lo sai tu e lo sa anche l'altra parte; solo tutti gli altri intorno no.
Viaggiare cambia il quadro
Per i clienti che viaggiano spesso, ho un'ulteriore nota. In alcuni paesi, l'utilizzo di una VPN non approvata è una questione giuridicamente delicata. In Cina, ad esempio, è limitato dalla legge locale e con un dispositivo aziendale vale sicuramente la pena considerare il rischio in anticipo, non solo una volta sul posto. La soluzione è solitamente semplice: una VPN aziendale per l’accesso al lavoro e una VPN personale per la privacy sono due cose diverse, ed è saggio non mescolarle, soprattutto durante un viaggio d’affari. E la situazione di gran lunga più comune che incontro con i clienti è il Wi-Fi di hotel o aeroporti. Là una VPN è una cosa ovvia, non per legge, ma perché su una rete pubblica scarsamente protetta qualcuno potrebbe tentare di intercettare o creare una rete falsificata. Oggi HTTPS solitamente protegge il contenuto, ma è comunque visibile con quali servizi stai comunicando. Accendilo prima di accedere a qualsiasi cosa.
Cosa fare oggi
Scegli una VPN controllata; Proton VPN o Mullvad sono un buon punto di partenza. Accendi il kill switch; con Mullvad funziona automaticamente, con Proton VPN lo troverai nelle impostazioni e verificherai tramite test che il tuo vero indirizzo non venga diffuso da nessuna parte. Verifica la presenza di perdite su browserleaks.com o ipleak.net. Il test conferma solo la configurazione attuale, quindi ripetilo dopo gli aggiornamenti dell’app o un cambio di dispositivo. E tratta una VPN come uno strato tra tanti, non come una cura miracolosa che risolve tutto in una volta. Dopotutto, questo vale per la sicurezza in generale, sia digitale che fisica.
"La migliore VPN è quella a cui smetti di pensare. Funziona silenziosamente in background, esattamente come una protezione adeguata."— Robert Václavík
