Che cos’è la politica “no logs” di una VPN?

Molte reti private virtuali (VPN) dichiarano di adottare politiche “no logs” o “zero logs” per garantire agli utenti che, quando utilizzano l’app, i loro dati di traffico non verranno registrati. Se stai cercando una VPN privata sul mercato, questa è sicuramente una caratteristica fondamentale da tenere in considerazione. La sua assenza potrebbe rappresentare un grave rischio.

Ma le politiche “no logs” segnalano anche un problema più profondo con le VPN tradizionali. In quanto infrastrutture centralizzate, sono pienamente in grado di conservare registri completi dei metadati su chi si connette con chi o con cosa online attraverso i loro server. E quindi le loro affermazioni secondo cui non lo farebbero sono, in fin dei conti, semplicemente promesse di proteggere la nostra privacy e i nostri dati, e le promesse richiedono la fiducia degli utenti. La fiducia in un servizio web, tuttavia, è ben lungi dall’essere una garanzia di privacy.

NymVPN è molto diversa: la politica “no logs” di Nym non è una semplice promessa, ma piuttosto una scelta architettonica della rete che garantisce la tua privacy. Nym non può conservare registri completi del traffico degli utenti perché questi non possono essere in possesso né di Nym né dei server indipendenti che instradano il traffico degli utenti. La decentralizzazione della rete elimina la fiducia dall’equazione.

Ma per comprendere appieno perché questo rappresenti un miglioramento così significativo per la privacy online, questo articolo spiegherà cosa sono i “log” quando si utilizza una VPN, perché le politiche sulla privacy delle VPN tradizionali sono inadeguate e in che modo NymVPN offre una soluzione migliore.

Che cos’è un registro del traffico?

Quando si utilizza una VPN, tutto il traffico verrà instradato attraverso i server della società che fornisce la VPN. In genere si tratta di un singolo server di proprietà o noleggiato dalla stessa azienda che fornisce il servizio VPN. Questo funge da proxy per la connessione al web pubblico. Quindi, quando le tue comunicazioni o richieste raggiungono una destinazione web, sembrerà che provengano dalla VPN e non dal tuo dispositivo personale.

Se il servizio proxy della VPN è centralizzato, tutti i tuoi dati potrebbero finire nelle mani della società che gestisce la VPN stessa, poiché passano attraverso il suo server. Ma cosa possono vedere e cosa no riguardo al tuo traffico? È qui che entrano in gioco le promesse relative alla “assenza di registri”.

Tipi di traffico

Ci sono tre tipi di traffico web da tenere presenti in questo contesto:

1. Traffico in chiaro: Si tratta dei dati grezzi relativi a ciò che state facendo online. Potrebbe trattarsi di un’e-mail, di un film in streaming o di qualsiasi cosa inviata e ricevuta su Internet. Se non protetti, qualsiasi soggetto esterno potrebbe potenzialmente visualizzarne il contenuto in caso di intercettazione o manipolazione.

2. Traffico crittografato per impostazione predefinita: Fortunatamente, la maggior parte del nostro traffico online è crittografato per impostazione predefinita dai servizi web a cui ci colleghiamo. Questo avviene spesso con protocolli come HTTPS o SSL/TLS. Quindi, ancora prima che il traffico esca dal dispositivo, è protetto da un livello di crittografia che tutela i contenuti, persino da una VPN.

3. Traffico crittografato tramite VPN: Una VPN dovrebbe innanzitutto crittografare i dati sul dispositivo prima che questi vengano trasmessi. Questo tunnel crittografato VPN si aggiungerà a qualsiasi (2) crittografia predefinita stabilita dalla tua connessione web. Nella maggior parte dei casi, il testo in chiaro avrà quindi due livelli di crittografia durante la connessione a una VPN.

Quale traffico può vedere una VPN?

Quando una VPN è attiva, fungerà da proxy per tutto il traffico web in entrata e in uscita dal tuo dispositivo.* Ciò significa che la VPN “vedrà” o gestirà tutto il tuo traffico. Ma a quale tipo di traffico ha accesso?

Supponendo che (2) la crittografia predefinita sia attiva quando si utilizza una VPN, la VPN non avrà mai accesso al vostro (1) testo in chiaro, ovvero al contenuto del vostro traffico. Si occuperà invece del tuo (2) traffico crittografato predefinito online.

Nota tecnica: Sui propri server, le VPN decrittografano il (3) livello di crittografia VPN che hanno stabilito in modo da poter vedere dove inviare i tuoi dati sul web pubblico. Tuttavia, se è attiva la (2) crittografia predefinita, i tuoi contenuti saranno comunque protetti dalla VPN stessa.

Pertanto, le pratiche di non registrazione dei dati, per le quali le VPN possono o meno assumere impegni pubblici, non dovrebbero in realtà riguardare alcuna registrazione del contenuto dei vostri dati, tranne nel raro caso in cui (2) la crittografia predefinita non sia attiva. Piuttosto, le pratiche di registrazione riguardano i registri dei metadati del traffico crittografato.

• Un'eccezione a ciò sarebbe il caso in cui si fosse configurato lo split tunneling tramite una VPN per includere o escludere determinati tipi di traffico.

Registrazione dei metadati

Anche quando il contenuto del tuo traffico è crittografato, ci sono comunque molti dati relativi a questo traffico che possono essere raccolti per tracciare le tue attività. Questo viene chiamato metadati. I metadati includono informazioni quali:

• Indirizzi IP di origine e destinazione
• Firme temporali
• Dimensioni dei pacchetti di dati
• Tipi di crittografia
• Frequenze e durate delle connessioni

Nessuna di queste informazioni è crittografata: “traspare” dalla crittografia, come dati relativi a dati crittografati.

Quando vengono raccolti i metadati, specialmente per lunghi periodi di tempo per determinati utenti, possono rivelare molte informazioni altamente personali:

• Cronologia delle connessioni: se si utilizza una VPN, il provider della VPN può avere accesso sia al proprio indirizzo IP personale sia all’IP della destinazione sul web. Questo mostrerà quando, con chi, per quanto tempo e con quale frequenza hai effettuato una connessione. Immaginatelo come rivelare con chi avete relazioni serie piuttosto che arbitrarie nella vita.

• Abitudini di navigazione: I registri delle connessioni a lungo termine possono rivelare le tendenze nelle vostre abitudini di navigazione, tracciando un quadro dettagliato delle vostre abitudini, dei vostri desideri e persino delle vostre inclinazioni politiche. Se aggregati, questi dati possono rivelare aspetti di cui potresti non essere nemmeno consapevole, il che potrebbe rivelarsi utile nelle mani di inserzionisti o truffatori.

• Compromissione delle informazioni personali: L’analisi dei registri di traffico può anche rivelare informazioni altamente personali che potrebbero risultare compromettenti se finissero nelle mani sbagliate. Ad esempio, se i record dei metadati indicano una connessione frequente con una struttura medica o di riabilitazione online, si può dedurre che tu o un membro della tua famiglia abbiate una condizione medica, ad esempio che stiate cercando un trattamento per una dipendenza. Se finisse nelle mani sbagliate, questa informazione potrebbe essere utilizzata per prenderti di mira o sfruttarti.

Questo è solo un breve elenco. Ma dovrebbe dimostrare come i metadati, a cui la maggior parte di noi non pensa mai, rappresentino una backdoor per la nostra privacy, dato che sempre più aspetti della nostra vita sono facilitati dal web.

Nota: Il tuo indirizzo IP di per sé – a cui i servizi web, gli ISP o le VPN tradizionali avranno accesso diretto – non rivela di per sé informazioni sul tuo nome e indirizzo. Tuttavia, se abbinate alle informazioni fornite dal vostro fornitore di servizi Internet (ISP), il collegamento tra il vostro indirizzo IP e i dati personali non è difficile da stabilire per una sorveglianza avanzata.

Perché le VPN non dovrebbero conservare i log

I log dei metadati possono rivelare molte informazioni, quindi se una VPN li conserva, i dati personali di centinaia di milioni di utenti della VPN sono vulnerabili. Ma a cosa o a chi?

• Violazioni dei dati: Gli attacchi informatici prendono spesso di mira i server centralizzati in cui sono conservate grandi quantità di dati degli utenti, inclusi dati finanziari, relativi agli account e metadati. Tutti questi dati sono diventati beni di grande valore in un’economia della sorveglianza in continua espansione e nel mondo sommerso della criminalità informatica. I server VPN possono essere bersagli facili se i dati vi sono centralizzati o registrati.

• Vendita di metadati: Molte aziende VPN poco affidabili, in particolare le centinaia di servizi VPN “gratuiti” disponibili, si guadagnano da vivere raccogliendo e vendendo deliberatamente i metadati dei propri utenti a broker di dati.

• Sorveglianza governativa: Con i registri dei metadati a disposizione, le VPN possono ricevere l’ordine da parte del governo o delle autorità di polizia di consegnare i registri del traffico dei clienti. Sebbene a volte possa esserci una causa giustificabile per richiedere tali documenti (ad esempio, per impedire che si verifichi un crimine violento), lo stesso processo può facilmente costituire un’ingerenza eccessiva da parte del governo o della giustizia. E per le persone di tutto il mondo, ciò viene fatto da governi autoritari per imporre la censura, impedire l’accesso alle informazioni e colpire i nemici politici.

I rischi delle VPN di fiducia

Date queste minacce globali ai nostri dati personali online, sapere come un servizio per la privacy come una VPN gestisce i nostri dati è una domanda cruciale che dobbiamo porci. Per ribadire il concetto, le aziende che offrono VPN tradizionali propongono politiche di non registrazione dei log solo perché hanno effettivamente accesso ai metadati del nostro traffico e possono conservarne traccia.

Ci sono molti rischi da tenere presenti:

• Anche se una VPN ha una politica di non registrazione dei log, molte conservano comunque dei “log minimi” per scopi operativi, come garantire la connettività di rete e le valutazioni delle prestazioni. Oppure i loro termini e condizioni potrebbero specificare che conservano solo “determinati registri” per attività quali la condivisione dei dati con “partner” affiliati (un eufemismo per indicare la vendita dei dati agli operatori di marketing).

• Numerosi casi di fughe di dati nel corso degli anni hanno rivelato i dati relativi ad abbonamenti, account e traffico di milioni di clienti VPN. Dati come questi possono trapelare solo se vengono conservati in primo luogo.

• Le VPN gratuite che promettono la tutela della privacy sono una scommessa molto più rischiosa, spesso non sono altro che macchine per la raccolta di metadati che vendono le nostre informazioni personali a inserzionisti o broker di dati.

• E poi ci sono naturalmente le VPN, che sostenevano di non conservare i registri del traffico, ma che si sono rivelate disposte a collaborare con le richieste di mandato del governo per i dati degli utenti.

La triste verità è che centinaia di milioni di persone alla ricerca della privacy vengono ingannate e, a volte, il presunto protettore è proprio il responsabile. La fiducia semplicemente non basta quando si tratta della nostra privacy online.

VPN che affrontano il problema della fiducia

Molte VPN comprendono questo problema di fiducia e stanno adottando misure aggiuntive per risolverlo a beneficio dei propri utenti. Ciò richiede misure concrete che vadano oltre la fiducia richiesta dalle politiche di non registrazione dei log.

• server solo RAM. Alcune VPN hanno convertito i propri server affinché funzionino esclusivamente sulla memoria ad accesso casuale (RAM). Ciò significa che ogni volta che il server viene spento, o è previsto che lo sia, tutti i dati (compresi i registri del traffico dei client) vengono cancellati in modo definitivo.

• Audit esterni. Un’altra opzione per le VPN è quella di sottoporre i propri server e le proprie reti ad audit di sicurezza esterni, che possano anche verificare il rispetto dei loro impegni di non registrazione dei log.

Le politiche "no logs" rappresentano sicuramente un passo nella giusta direzione, ma devono essere accompagnate da garanzie concrete per gli utenti, affinché la loro privacy non si riduca a una semplice promessa.

Ma esiste una soluzione ancora più radicale al problema della fiducia: rendere obsoleti i registri di traffico grazie a un design di rete innovativo e decentralizzato. Con NymVPN, questo tipo di fiducia e incertezza non è più necessario.

La politica “no logs” di Nym

Nym adotta un tipo diverso di politica “no-logs” che pochissimi altri servizi VPN sono in grado di offrire: con NymVPN, la registrazione completa del traffico è impossibile per come è progettato il sistema. Ciò è dovuto al fatto che la rete Nym è decentralizzata dal punto di vista architettonico.

Per dirla in parole semplici: non esiste un unico punto nella rete Nym in cui i log possano collegare l’origine e la destinazione del tuo traffico. Con NymVPN, rimani non riconducibile al tuo traffico.

Scopri di più su come la rete Nym garantisce una politica di non registrazione dei log per impostazione predefinita e consulta la sezione Domande e risposte di Nym nel Trust Center.

Oppure approfondisci qui come la Mixnet di Nym produca la VPN più riservata al mondo.

Mentre leggi, iscriviti oggi stesso per provarlo gratuitamente!