No, non avete bisogno di una VPN.

“Don’t use VPN services. No, seriously, don’t. You’re probably reading this because you’ve asked what VPN service to use, and this is the answer.”
Sven Slootweg

Da qualche tempo ho notato un proliferare di servizi che offrono VPN per “maggiore sicurezza e privacy”. Gli stessi log del firewall aziendale mi confermano che sono sempre di più gli utenti che usano tali servizi (sembra andare di gran moda un servizio VPN chiamato “Tuxler“…), forse nell’illusione che possano garantire maggiore privacy e sicurezza.

Inutile dire, come spiega Svel Slootweg nel suo lungo articolo “Don’t use VPN services“, che tali servizi non garantiscono né privacy né sicurezza. Vediamo perché.

Cos’è una Virtual Private Network?

Facciamo un passo indietro. Generalmente, quando navighiamo in Rete, il nostro PC interagisce direttamente con il server di destinazione. Ad esempio, quando accediamo a Facebook scrivendo “www.facebook.com” nella barra degli indirizzi del browser, il nostro sistema risolve via DNS il nome e si connette ad uno dei server di Facebook, direttamente, mostrandoci la pagina web.

L’utilizzo di una rete privata virtuale prevede una connessione diretta con il fornitore del servizio di VPN e, da lì, la connessione verso la destinazione desiderata. E’ un intermediario attraverso cui passano tutti i dati. Sempre sull’esempio di prima, in caso di una VPN, per connettersi a Facebook il nostro PC effettua una connessione attraverso il canale privato e si connette al server web di Facebook attraverso i sistemi del fornitore del servizio.

Dal punto di vista di Facebook la connessione sembrerà provenire dal fornitore del servizio VPN.

Ok per evitare blocchi e censura, NO per uso quotidiano

Se questo sistema può essere utile per evitare blocchi o altri strumenti di censura (ad esempio in alcuni Paesi dove le politiche di uso della Rete sono particolarmente limitanti), nell’uso quotidiano rischia anzi di avere alcuni effetti deleteri, ad iniziare dalla sicurezza dei nostri dati.

Come si vede bene nel diagramma, tutti i nostri dati transitano sempre dal server del fornitore del servizio di VPN. Che potrà anche giurare e spergiurare di non guardare i nostri dati: non c’è alcun modo, per gli utenti, di verificarlo. Siete disposti a fidarvi, soprattutto se il servizio di VPN viene fornito in modo gratuito?

Anche in caso di connessioni cifrate via SSL (HTTPS), sono sempre possibili attacchi del tipo man-in-the-middle che esporrebbero tutti i nostri dati, credenziali incluse, ad un eventuale curioso. E con una VPN, un attacco simile è ancora più facile.

TOR non è una VPN

Forse avete sentito parlare di TOR e qualcuno potrebbe confonderlo con una VPN. TOR è una tecnologia che permette, attraverso una concatenazione di proxy attraverso diversi strati, cifrati (da quì il motivo del logo a cipolla) che permettono ai pacchetti un certo grado di anonimizzazione. La cifratura del traffico tra i nodi della Rete TOR permette di garantire un certo grado di riservatezza, poiché anche attaccando e prendendo il controllo di un nodo, sarà molto difficile riuscire ad interpretarne il traffico. Tuttavia è sempre possibile, soprattutto in caso di investigazioni fortemente motivate (agenzie governative), risalire la catena ed arrivare al punto di entrata e, da lì, all’indirizzo IP che ha originato la comunicazione.

Un proxy non è una VPN

Un proxy è un software che agisce come intermediario in una comunicazione TCP/IP: il sistema di origine si connette al server proxy comunicando la destinazione e, da lì, sarà il proxy a connettersi con il destinatario, preoccupandosi di inoltrare i pacchetti tra origine e sorgente. Se, dal punto di vista del destinatario, il sorgente della comunicazione risulta il server proxy (a meno di Header specifici, come X-Forwarded-For ), è sempre possibile risalire alla reale origine attraverso i log o all’analisi del traffico. Concatenare più proxy (es. proxychain) può aiutare a proteggere l’anonimato, a patto che almeno uno dei proxy sia realmente sicuro.

In conclusione, usate solo VPN realmente private

Le uniche VPN che possiamo usare con tranquillità sono quelle realmente private, ovvero quelle gestite direttamente da noi o dalla nostra azienda. Parlo delle VPN utilizzate per connettersi, ad esempio, alla rete aziendale oppure, attraverso soluzioni commerciali ormai presenti anche in molti router ADSL, alla nostra rete casalinga.

Tutte le altre soluzioni VPN, sia a pagamento che gratuite, vanno sempre ponderate con attenzione: dall’altra parte, alla fine del tubo, possono essere in ascolto (ve ne accorgerete solo quando sarà troppo tardi).