Servizi VPN: solo una salvezza o anche una fonte di pericolo?

Le app VPN criptano tutto il traffico di rete tra un dispositivo esterno e i server di un'azienda, mentre le VPN consumer assicurano anche che il traffico tra il dispositivo dell'utente e un provider VPN sia criptato e trasmesso alla rete Internet pubblica lontano dalla posizione dell'utente. In questo modo si nasconde la vera origine dei pacchetti di dati e si rende più difficile rintracciare l'utente. Un'ulteriore sensazione di privacy e quindi di anonimato deriva anche dal fatto che VPN è l'abbreviazione di Virtual Private Network (rete privata virtuale), per cui la parola "privato" praticamente si impone. In realtà, però, la parte "privata" di una VPN non riguarda l'anonimato degli utenti. La P di VPN si riferisce in realtà all'idea di utilizzare una rete pubblica per trasmettere il traffico di dati che prima passava attraverso un circuito privato o una linea affittata ed era quindi considerato parte della LAN aziendale.

Anonimato ingannevole

Tuttavia, l'apparente anonimato è ingannevole: chiunque abbia mai utilizzato una VPN aziendale, cosa molto probabile nell'era Corona, sa che è necessaria un'identificazione precisa prima di accedere alla VPN, ad esempio con una password o un token 2FA. In questo modo l'azienda sa chi siete prima che qualcuno si connetta. La conclusione: il traffico dati è protetto dalla sorveglianza delle intercettazioni pubbliche, ma non c'è anonimato solo perché un utente si trova nel castello virtuale della rete aziendale. In breve, la VPN stessa sa chi sono e vede cosa stanno facendo. Anche se i router attraverso i quali vengono trasmessi i pacchetti VPN crittografati non lo sanno. E questo è un bene, perché significa che gli utenti condividono la rete aziendale solo con altre persone che (si spera) dovrebbero trovarsi lì e che quindi possono essere ritenute responsabili del loro comportamento, invece di essere accomunati a un gruppo di estranei in situazioni critiche.

Qual è il problema dei protocolli?

Come già accennato, le VPN per i consumatori possono garantire che i dati siano crittografati a livello locale e trasmessi in modo non criptato all'Internet pubblico in una parte completamente diversa del mondo. In questo modo nascondono la posizione fisica e quindi il Paese in cui vive l'utente. Per molte persone, questo è il valore aggiunto più importante di un servizio VPN personale. Permette di aggirare la censura applicata dagli ISP del proprio Paese. Tuttavia, ciò significa anche che gli utenti ripongono molta fiducia nel fornitore di VPN, che alla fine diventa il nuovo ISP, dove non è nemmeno chiaro in che misura stia effettuando o meno la sorveglianza. Molti fornitori di VPN hanno sottolineato che "non tengono alcun registro" e che quindi non potrebbero consegnare nulla alle agenzie governative anche se volessero. Il problema, tuttavia, è che in molti Paesi esistono meccanismi legali che possono costringere un fornitore di servizi non solo a conservare i registri per determinati individui, ma anche a tacere sul fatto che lo fanno.

Il fatto che questa sorveglianza delle VPN possa essere più frequente di quanto si pensi è reso evidente da un recente caso riportato nell'ufficio di un tutor VPN.Rapporto in cui i ricercatori del sito si sono imbattuti in numerosi registri di utenti di sette VPN consumer che operano da Hong Kong, tutte appartenenti a un unico fornitore principale. (Nota: VPNMentor guadagna entrate da affiliazione grazie ai link e ai buoni per le aziende VPN selezionate che raccomanda). Michael Veit, specialista di sicurezza informatica di Sophos, ha aggiunto: "Secondo la piattaforma, un database cloud mal configurato ha esposto circa 1 miliardo di record di database con circa 20 milioni di utenti, compresi i registri delle attività, le password in chiaro, le informazioni sui pagamenti in bitcoin, i messaggi di supporto, le informazioni sui dispositivi personali, i dati tecnici o le informazioni sugli account. Questo nonostante il fatto che, secondo VPN Mentor, i fornitori di VPN interessati pubblicizzino sui loro siti web di aderire alla politica di zero-logging, ovvero di non creare alcun registro".

Naturalmente le VPN sono un'ottima cosa, ma come quasi ovunque, la fiducia cieca non è una buona idea. Gli utenti dovrebbero tenere a mente i seguenti aspetti:

1. nessuna VPN rende una persona anonima o cambia magicamente l'identità solo perché si utilizza questa tecnologia. Sebbene i siti web visitati tramite VPN non mostrino la loro vera posizione di rete, è importante notare che dietro il browser c'è sempre la stessa persona.

In definitiva, passare a un servizio VPN non è altro che passare a un altro fornitore di servizi Internet. Pertanto, dovreste fare le stesse richieste. Il vostro provider VPN può registrare molti dei vostri dati e vedere da dove provengono, proprio come l'ISP. Tuttavia, è importante notare che una società VPN può essere soggetta a leggi diverse rispetto a un normale ISP.

Indipendentemente dall'uso della VPN, se in genere si caricano dati nel cloud, non bisogna mai memorizzarli pubblicamente, a meno che non si intenda farlo esplicitamente. Per impostazione predefinita, i dati dovrebbero essere bloccati. Non dovreste caricare ciò che volete che rimanga assolutamente privato e non dovreste raccogliere nel cloud dati che potenzialmente volete eliminare in modo permanente a un certo punto.

Fonte: Sophos