Miti sulla privacy delle VPN: cosa può e cosa non può proteggere una VPN

Una VPN è uno strumento utile per la privacy, ma è anche uno dei prodotti che promettono di più su internet. Fa bene alcune cose precise e molte altre non le fa affatto. Questa guida spiega cosa può e cosa non può proteggere una VPN, da dove nascono i miti più comuni e come decidere se una VPN è adatta ai rischi che corri davvero.

Cosa fa davvero una VPN

Una VPN crea una connessione cifrata tra il tuo dispositivo e un server gestito dal fornitore della VPN. Il tuo traffico passa attraverso quella connessione e i siti web vedono l'indirizzo del server VPN invece di quello assegnato dal tuo provider internet. Se vuoi partire dalle basi, leggi la nostra guida su che cos'è una VPN.

Questa descrizione è breve di proposito, perché mostra sia il punto di forza sia il limite. Una VPN non cambia chi sei, cosa scrivi in un modulo di accesso o cosa rivela di sé il tuo browser.

Il mito dell'anonimato totale

Il marketing usa spesso parole come anonimo, non rintracciabile e invisibile. Nessuna di queste descrive ciò che ti offre una VPN. Al massimo, una VPN ti dà un certo grado di privacy nei confronti di soggetti specifici in situazioni specifiche.

Una VPN non garantisce l'anonimato. Il fornitore può vedere che il tuo account si collega ai suoi server, i siti web possono riconoscerti perché effettui l'accesso e il tuo browser può essere identificato anche senza il tuo indirizzo IP. Una descrizione più onesta è che una VPN sposta una parte della visibilità da un soggetto a un altro. Se lo scambio conviene dipende da chi ti preoccupa.

Le politiche di log e il loro significato

Molti fornitori dichiarano di non conservare log. La formula sembra precisa, ma non lo è. Un servizio può registrare diversi tipi di dati e una politica può coprirne alcuni e altri no.

• Log di connessione: quando ti sei collegato, per quanto tempo e da quale indirizzo. Alcuni fornitori conservano registrazioni di breve durata per far funzionare il servizio o limitare gli abusi.
• Log di attività: quali siti hai visitato o cosa hai scaricato. È la categoria a cui pensano quasi tutti quando parlano di log.
• Dati dell'account e di pagamento: il tuo indirizzo email, il metodo di pagamento e i dettagli dell'abbonamento. Quasi ogni servizio a pagamento li conserva.

Quando leggi una politica, cerca dichiarazioni chiare su ciascuna categoria e sui tempi di conservazione dei dati. Alcuni fornitori pagano revisori indipendenti per pubblicare una verifica. È un segnale migliore di una semplice promessa, ma una verifica fotografa un momento preciso e ha un ambito limitato. Se non trovi una politica chiara, considera anche questa una risposta.

La fiducia passa dal tuo provider internet al fornitore VPN

Senza VPN, il tuo provider internet può vedere a quali domini si collega il tuo dispositivo. Con una VPN vede solo una connessione a un server VPN, mentre il fornitore della VPN vede ciò che prima vedeva il tuo provider internet.

Questo è il punto centrale di tutto l'argomento. Una VPN non elimina la fiducia dal quadro. La sposta da un'azienda con cui hai già un contratto, nel tuo paese, a un'azienda che magari conosci molto poco. Per molte persone resta una mossa sensata, per esempio con il wifi pubblico o quando non si fidano della rete locale. Per altre è solo un passo di lato.

Se non hai motivi per diffidare del tuo provider internet, una VPN potrebbe non aggiungere molta privacy. La nostra guida su come scegliere una VPN spiega cosa controllare quando decidi di usarne una.

Fingerprinting del browser e account con accesso effettuato

I siti web non hanno bisogno del tuo indirizzo IP per riconoscerti. Due metodi comuni funzionano con o senza VPN.

Account con accesso effettuato

Se accedi a un social network, a un servizio email, a un negozio o a un account di ricerca, quel servizio sa chi sei. Cambiare indirizzo IP non cambia questo fatto. Tutto ciò che fai mentre sei connesso può essere collegato all'account. Una VPN non può rendere anonima una sessione con accesso effettuato.

Cookie e fingerprinting

I cookie risiedono sul tuo dispositivo, quindi restano gli stessi quando cambia il tuo indirizzo IP. Un fingerprint è una combinazione di dettagli che il tuo browser espone, come dimensione dello schermo, lingua, caratteri e fuso orario, e può essere abbastanza distintivo da riconoscere un dispositivo. Una VPN non modifica nulla di tutto questo. Aiutano di più profili del browser separati e browser che limitano il tracciamento.

Malware e phishing

Una VPN non ti protegge dai software dannosi né dalle truffe. Se scarichi un file infetto tramite una VPN, il file è infetto esattamente come prima. Se inserisci la password su una pagina di accesso falsa tramite una VPN, l'aggressore la riceve con la stessa facilità.

Alcune app bloccano i domini dannosi noti, il che può aiutare, ma è un extra e non sostituisce le buone abitudini. Il phishing agisce sulle persone, non sulle reti. Controlla il mittente e l'indirizzo della pagina prima di accedere e usa un gestore di password, che non compila i dati su un sito che imita quello vero.

HTTPS e VPN a confronto

La maggior parte dei siti web oggi usa HTTPS, che cifra il contenuto scambiato tra il tuo browser e il sito. Questo conta per capire quando serve davvero una VPN.

Su una rete wifi pubblica, HTTPS impedisce già alle altre persone collegate alla stessa rete di leggere le pagine che carichi e i dati che invii. Possono comunque vedere quali domini contatti. Una VPN aggiunge un livello che nasconde anche questo e protegge il traffico che non usa HTTPS, come alcune app o servizi più vecchi.

Ecco come si confrontano i due nella pratica:

Nessuno dei due ti protegge dal sito stesso e nessuno sostituisce l'altro.

Perdite di DNS e di IP

Una VPN serve solo se tutto il tuo traffico passa davvero attraverso di essa. A volte una parte non lo fa. Si parla di perdite (leak) ed è un modo frequente in cui una VPN smette di funzionare senza che te ne accorga.

• Perdite di DNS: il DNS è il sistema che trasforma il nome di un sito in un indirizzo. Se il tuo dispositivo invia queste richieste al tuo provider internet invece che attraverso la VPN, il provider può comunque vedere quali siti visiti.
• Perdite di IP: alcune funzioni del browser possono rivelare il tuo vero indirizzo anche quando la VPN è attiva. Inoltre le reti più recenti usano indirizzi IPv6 e, se una VPN gestisce solo il tipo più vecchio, IPv4, il traffico su IPv6 può aggirarla.

Puoi ridurre questi rischi. Cerca un'impostazione kill switch, usa l'app ufficiale ed esegui un test delle perdite da un sito affidabile mentre sei connesso. Ripetilo dopo gli aggiornamenti importanti o quando cambi rete.

Giurisdizione e richieste di dati

Ogni azienda VPN ha una sede e gestisce server in vari luoghi. Le leggi di quei luoghi influiscono su ciò che l'azienda può essere obbligata a fare. In termini generali, le autorità di molti paesi possono inviare richieste legali alle aziende e un'azienda che detiene dati può essere obbligata a consegnarli. Un'azienda che conserva pochissimi dati ha poco da consegnare.

Per questo una politica di log chiara conta più del nome di un paese su una mappa. Le leggi su uso delle VPN, conservazione dei dati e privacy variano molto da paese a paese e cambiano nel tempo. Questa guida offre informazioni generali, non consulenza legale. Verifica le regole del luogo in cui vivi e in cui viaggi.

VPN gratuite

Gestire una VPN costa denaro per server, banda, software e assistenza. Un servizio che non fa pagare nulla deve coprire quei costi in qualche modo. Questo non rende dannoso ogni servizio gratuito, ma è un motivo per leggere i termini con particolare attenzione.

I modi in cui i servizi gratuiti possono guadagnare includono mostrare pubblicità, limitare velocità o dati per spingerti verso un piano a pagamento, e raccogliere e vendere informazioni su come usi internet. L'ultimo è il vero problema per la privacy, perché lo scopo stesso di una VPN è limitare chi vede il tuo traffico. Un'app gratuita che registra e vende i dati di navigazione vanifica questo scopo.

Prima di installare una VPN gratuita, controlla chi la gestisce, come guadagna e cosa dice l'informativa sulla privacy. Se non sai rispondere a queste domande, non installarla.

Affermazioni pubblicitarie da prendere con scetticismo

La pubblicità delle VPN è piena di toni drammatici. Non serve presumere la malafede, ma è bene leggere queste affermazioni con occhio critico.

• "Cifratura di livello militare." È una formula di marketing, non uno standard tecnico. Cerca i protocolli e i cifrari effettivi indicati nella documentazione.
• "Anonimato completo" o "non rintracciabile." Come spiegato sopra, una VPN non può offrirlo.
• "Funziona con ogni servizio di streaming." I servizi di streaming bloccano attivamente gli indirizzi delle VPN e ciò che funziona cambia spesso. Nessun fornitore può promettere un accesso duraturo. Leggi la nostra guida su VPN su telefono, router e streaming per sapere cosa aspettarti.
• Conti alla rovescia e sconti enormi. Leggi le condizioni di rinnovo prima di acquistare. La nostra guida su prezzi e rinnovi delle VPN spiega come funzionano i prezzi promozionali.

Un fornitore affidabile descrive i limiti con la stessa chiarezza dei vantaggi.

Altri strumenti che completano una VPN

Per la maggior parte delle persone, i miglioramenti più grandi per privacy e sicurezza vengono da abitudini e strumenti di base, non da una VPN. Fanno cose che una VPN non può fare.

• Aggiornamenti del software. Tieni aggiornati sistema, browser e app, perché molti attacchi sfruttano falle già note.
• Un gestore di password. Crea e conserva una password unica per ogni account, così una violazione su un sito non apre gli altri. Ti aiuta anche a evitare le pagine di accesso false.
• Autenticazione a due fattori. Un secondo passaggio all'accesso, meglio se tramite un'app di autenticazione o una chiave di sicurezza fisica, protegge un account anche se la password viene rubata.
• Blocco dei tracker. Le impostazioni del browser o le estensioni di fonti affidabili possono limitare cookie, tracker di terze parti e parte del fingerprinting. Questo risolve ciò che una VPN lascia scoperto.

Una checklist realistica del modello di minaccia

Un modello di minaccia è semplicemente una risposta onesta alla domanda su cosa vuoi proteggere e da chi. Ti evita di comprare una soluzione per un problema che non hai. Rispondi a queste domande.

1. Cosa voglio proteggere? Per esempio i dati di accesso sul wifi pubblico, la cronologia di navigazione dal mio provider internet, la mia posizione reale da un sito web o l'accesso ai contenuti mentre viaggio.
2. Chi potrebbe vederlo? Per esempio altre persone sulla stessa rete, il mio provider internet, gli inserzionisti, un sito web o qualcuno che mi prende di mira personalmente.
3. Una VPN risolve questo rischio? Se la risposta dipende da account con accesso effettuato, malware o dal tuo dispositivo, una VPN non lo risolverà.
4. Di chi mi fiderei al suo posto? Decidi se ti fidi del fornitore VPN più del tuo attuale provider internet e perché.
5. Cos'altro serve? Aggiungi aggiornamenti, un gestore di password, l'autenticazione a due fattori e il blocco dei tracker dove servono.

Se le tue risposte oneste indicano il wifi pubblico, una rete di cui non ti fidi o il desiderio di tenere la tua navigazione lontana dal tuo provider internet, una VPN è uno strumento ragionevole. Se indicano l'anonimato rispetto ai siti a cui accedi, la sicurezza dal malware o la protezione da un avversario determinato, una VPN da sola non basta. Per proseguire, leggi la nostra guida su che cos'è una VPN per le basi, e poi confronta le opzioni seguendo i passaggi di come scegliere una VPN.

Punti chiave

• Una VPN nasconde il tuo traffico alla rete locale e al tuo provider internet e cambia l'indirizzo che vedono i siti web. Non ti rende anonimo.
• Usare una VPN sposta la fiducia dal tuo provider internet all'azienda VPN, quindi contano la politica di log e la reputazione del fornitore.
• Account con accesso effettuato, cookie e fingerprinting del browser ti identificano a prescindere dal tuo indirizzo IP.
• Una VPN non ferma malware o phishing. Aggiornamenti, gestore di password e autenticazione a due fattori fanno molto di più.
• HTTPS e VPN proteggono parti diverse della connessione e nessuno dei due ti protegge dal sito che visiti.
• Controlla le perdite di DNS e di IP e usa un kill switch quando è disponibile.
• Le VPN gratuite richiedono un controllo extra, perché i soldi devono pur arrivare da qualche parte.
• Diffida delle affermazioni assolute su anonimato, velocità, sicurezza e accesso allo streaming.
• Le leggi su VPN e richieste di dati cambiano da paese a paese, quindi verifica le regole locali.
• Parti dal tuo modello di minaccia, poi scegli gli strumenti adatti.