La VPN, o Virtual Private Networking, è un modo per navigare sul web in modo sicuro e impedire che i siti web vedano la vostra posizione generale. Ma può anche essere violata e non siete veramente al sicuro quando navigate su Internet utilizzando una VPN.

Sono Aaron, un avvocato e un professionista/appassionato di tecnologia con più di 10 anni di lavoro nel campo della sicurezza informatica e della tecnologia. Personalmente utilizzo una VPN quando navigo da casa e la trovo un ottimo strumento per migliorare la mia privacy online.

In questo post vi spiegherò perché e come le VPN possono essere violate e perché e come i provider di VPN possono essere violati. Vi spiegherò anche come potete essere colpiti e cosa significa per il vostro utilizzo della VPN.

Punti di forza

• Con tempo e attenzione sufficienti da parte dei criminali informatici, tutto può essere violato.
• I servizi VPN possono essere e sono stati violati.
• L'impatto di un hacking di una VPN può essere significativo.
• È comunque possibile navigare in sicurezza anche senza una VPN.

Che cos'è la VPN e perché si usa?

La VPN, o Virtual Private Network, è un modo per nascondere la propria identità su Internet. Funziona creando una connessione sicura tra il computer o il dispositivo mobile e un server da qualche parte nel mondo, attraverso il quale viene instradato tutto il traffico Internet.

Ciò significa che, a tutti gli effetti, il mondo vi vede come quel server.

Quando visitate un sito web, richiedete informazioni a quel sito - o meglio, ai server che memorizzano quel sito - e quei server chiedono informazioni a voi. In particolare, il sito chiede: qual è il vostro indirizzo per potervi inviare dati?

Questo indirizzo è chiamato indirizzo IP (Internet Protocol). Il server del sito richiede questi dati per poter inviare all'utente le informazioni necessarie per visualizzare il sito. Questo avviene ogni volta che si clicca su un link, ogni volta che si guarda un video in streaming o ogni volta che si ascolta musica online.

Un server VPN crea una connessione sicura tra l'utente e il server stesso. Il server chiede quindi i dati ai siti web per conto dell'utente e fornisce l'indirizzo a tali siti, per poi ritrasmettere le informazioni all'utente attraverso la connessione sicura.

Ecco un paio di motivi:

• Quasi tutti i siti web oggi chiedono informazioni sulla posizione. In base alla vostra posizione e alle vostre abitudini di ricerca, le aziende online possono associare il vostro indirizzo IP alla vostra posizione reale e al vostro nome. Non volete che questo accada.
• Non è possibile accedere a contenuti video o musicali nel proprio paese, ma un indirizzo IP con sede in un paese diverso può aggirare il problema.
• In molti paesi sono previste sanzioni legali civili per la condivisione peer-to-peer di materiale protetto da copyright. Avere un indirizzo IP diverso rende più difficile associare tale attività a un individuo. Vedrete più avanti nell'articolo perché l'uso di una VPN a questo scopo è un placebo, nella migliore delle ipotesi.

Una VPN può essere violata?

Il modo migliore per rispondere alla domanda se una VPN può essere violata o meno è quello di pensare ai componenti principali della VPN:

• Un'applicazione sul computer o in un browser Web.
• Una connessione tra il computer/browser e un server VPN.
• Il server VPN stesso.
• Un'azienda che fornisce e gestisce l'applicazione, la connessione e il server.

Ogni elemento della connessione VPN può essere compromesso e questo, a sua volta, compromette il mascheramento del vostro indirizzo IP. In breve: potete essere identificati come voi stessi su Internet.

Alcuni dei modi in cui i servizi VPN possono essere violati sono:

1. I server VPN registrano le informazioni per scopi diagnostici e di sicurezza. Alcune di queste informazioni possono includere gli indirizzi IP dei computer che si connettono a tali server. Se un server VPN viene compromesso, qualcuno può rubare questi log e leggerli, scoprendo la vera identità online degli utenti VPN.

2. Così come i server VPN possono essere compromessi, lo stesso vale per le aziende che li gestiscono. Se queste aziende conservano le informazioni di log, queste possono essere rubate. Questo è successo a NordVPN nel 2018, quando uno dei suoi data center è stato compromesso.

3. L'applicazione legittima della legge (ad esempio, un mandato) e le indagini legali (ad esempio, una citazione in giudizio) possono obbligare a divulgare le informazioni raccolte da una società VPN.

4. La connessione tra il computer/browser e il server VPN può essere dirottata e reindirizzata a un criminale informatico che raccoglie i dati durante il passaggio delle richieste, il cosiddetto "Man in the Middle Attack", reso più difficile dall'uso di connessioni crittografate. Tuttavia, come dimostrato da una serie di attacchi a NordVPN, TorGuard e Viking VPN, una minaccia può rubare le connessioni crittografate.Questo permetterebbe loro di decriptare il flusso di dati con facilità.

5. Il computer/browser di origine può essere compromesso con codice dannoso o accesso all'endpoint, come è stato rivelato all'inizio del 2021 in Pulse Connect Secure, un provider VPN aziendale, che è stato attivamente sfruttato (fonte).

Come faccio a sapere se la mia VPN è stata violata?

Purtroppo, l'utente finale non ha modo di sapere se la sua connessione VPN è compromessa finché il fornitore della VPN non segnala pubblicamente il problema.

Cosa succede se la mia connessione VPN viene violata?

In alcuni casi, la compromissione della privacy online porterà le aziende a raccogliere più dati su di voi, sui vostri comportamenti e sulle vostre preferenze. Per alcuni, questa può essere una grave violazione della fiducia, per altri, al massimo, un fastidio.

Se l'uso principale di una connessione VPN è quello di guardare video disponibili solo in altre località geografiche, potreste essere sfortunati: la compromissione della connessione e la capacità di nascondere il vostro vero indirizzo e la vostra posizione potrebbero impedirvi di consumare contenuti non disponibili nella vostra regione.

Se il servizio VPN viene compromesso, le cose si fanno rischiose per gli utenti VPN che hanno violato la legge durante l'utilizzo del servizio. Le complessità del diritto internazionale sono troppo profonde per essere evidenziate in questa sede. Basti dire che se vivete in un Paese che ha un mandato o un mandato di comparizione sul servizio VPN che state utilizzando, c'è un alto rischio e una probabilità che le registrazioni del vostro utilizzo vengano divulgate.

Se il vostro utilizzo può essere collegato al server VPN e il server VPN è collegato ad attività illegali, allora, per estensione, il vostro utilizzo può essere collegato ad attività illegali. Potete quindi essere penalizzati per questa attività, come è successo in passato.

Domande frequenti

Ecco altre domande che potreste avere, a cui risponderò brevemente qui di seguito.

I servizi VPN a pagamento sono più sicuri di quelli gratuiti?

Sì, ma solo nel senso che i servizi VPN gratuiti stanno quasi certamente vendendo le vostre informazioni. Per il resto, tutte le considerazioni sono identiche.

Un detto che mi è stato utile nel mondo della tecnologia: se ricevi un prodotto gratuitamente, allora sei tu il prodotto. Nessun servizio VPN viene fornito come bene o beneficio pubblico e i servizi VPN sono costosi da mantenere. Devono guadagnare da qualche parte e vendere i vostri dati è redditizio.

NordVPN può essere violato?

Questo non significa che sia un cattivo servizio, anzi, è ampiamente considerato uno dei migliori disponibili.

Conclusione

I servizi VPN possono essere e sono stati violati. Cosa significa per voi, utenti finali?

Se avete intenzione di fare qualcosa che è discutibilmente o sicuramente illegale nella vostra giurisdizione, ma volete usare una VPN per nascondere la vostra attività, allora dovete essere consapevoli dei rischi.

Se lo si utilizza per aggirare le restrizioni di geolocalizzazione, è bene comprendere che potrebbe non essere del tutto efficace in tutte le situazioni. Come per qualsiasi strumento, è bene utilizzarlo in modo intelligente e seguire le istruzioni di sicurezza.

Utilizzate un servizio VPN? Quale? Condividete le vostre preferenze nei commenti.