VPN: il 95% del marketing è falso

Un giornalista mi mostra con orgoglio l’icona verde nella sua barra dei menu: “Sono protetto, ho NordVPN.” Gli chiedo: protetto contro cosa? Silenzio. Ha un abbonamento da 3,50 € al mese e la convinzione di essere invisibile. Mentre parliamo, il suo telefono è collegato al suo account Google, a WhatsApp, alla sua Gmail di lavoro. La VPN non cambia nulla di tutto questo. Ha comprato una sensazione, non una protezione.

La trappola di sempre

Il marketing delle VPN ha realizzato un’impresa che pochi settori eguagliano: convincere decine di milioni di persone che un oggetto tecnico molto preciso sia uno scudo universale contro tutti i pericoli di internet. “Proteggi la tua privacy. Diventa anonimo. Metti al sicuro i tuoi dati.” Queste formule tappezzano i banner di YouTube, le sponsorizzazioni dei podcast, i riquadri nelle app. Vengono ripetute così spesso da aver sostituito la comprensione con un riflesso: un problema di sicurezza, quindi una VPNTunnel cifrato tra il dispositivo e un server, che nasconde l'IP e il traffico al proprio ISP.Vedi il glossario.

Il problema non è il prodotto. Una VPNTunnel cifrato tra il dispositivo e un server, che nasconde l'IP e il traffico al proprio ISP.Vedi il glossario è uno strumento perfettamente onesto quando si sa cosa fa. Il problema è lo scarto tra ciò che Le è stato venduto e ciò che l’oggetto esegue realmente. Una VPN è un tunnel cifrato tra il Suo dispositivo e un server. Punto. Sposta il Suo punto di fiducia: invece che sia il Suo fornitore di accesso a vedere il Suo traffico, è il Suo fornitore di VPN a vederlo. A volte questo spostamento è utile. Spesso non tocca nemmeno il problema che crede di risolvere.

Il pericolo reale non è usare una VPN. È credere che La copra su terreni che non sfiora neppure — e quindi abbassare la guardia esattamente dove non La protegge. Il giornalista della mia epigrafe è più esposto con la sua VPN di quanto lo sarebbe senza, perché ha sostituito un acquisto mensile a un’igiene operativa. È lo scenario peggiore: la falsa fiducia. Tutto il resto di questo articolo serve a ricostruire la frontiera esatta tra ciò che la cosa fa e ciò che non fa, perché Lei smetta di pagare per un’illusione e la usi dove ha un valore reale.

Vediamo la meccanica nel dettaglio, perché è l’unico modo di uccidere il mito. Quando il tunnel è attivo, accadono tre cose e tre soltanto. Uno: il traffico tra il Suo dispositivo e il server di uscita è cifrato, quindi invisibile a qualsiasi osservatore posto tra i due — rete Wi-Fi locale, fornitore di accesso, operatore mobile. Due: il Suo indirizzo IP reale viene sostituito, agli occhi dei server di destinazione, con quello del punto di uscita della VPN. Tre: se la configurazione è pulita, anche le Sue richieste DNS partono nel tunnel, il che impedisce alla rete locale di dedurre i domini che visita. Ecco l’intero contratto tecnico. Tutto ciò che il marketing aggiunge al di sopra è estrapolazione abusiva.

E ciò che la VPN non fa mai merita di essere enunciato con la stessa nettezza. Non cifra il contenuto delle Sue comunicazioni end-to-end: è il ruolo di HTTPSVersione sicura di HTTP, che cifra la comunicazione tra browser e server tramite TLS.Vedi il glossario, già presente sulla stragrande maggioranza del web, e la VPN non aggiunge nulla a quel contenuto. Non cancella i Suoi cookie, la Sua sessione, l’impronta del Suo browser. Non La protegge né da un malware scaricato nel tunnel, né da una mail di phishing, né da un allegato trappola — un file malevolo resta malevolo che arrivi cifrato o no. E non La rende anonimo verso i servizi a cui è connesso: se è loggato su Google, Google sa chi è, qualunque sia l’IP di uscita. La VPN agisce su un solo strato, il trasporto. È cieca a tutto il resto.

Il modello di minaccia reale: chi vede cosa

L’unica domanda che conta prima di accendere una VPN: contro chi? Un threat modelMappatura degli attori, motivazioni, capacità e impatti potenziali contro un obiettivo.Vedi il glossario serio non si costruisce con aggettivi (“più sicuro”, “privato”) ma con attori nominati e capacità precise. Riprendiamo la catena del Suo traffico, anello per anello, e guardiamo chi vede cosa con e senza tunnel.

Senza VPN, su un Wi-Fi che non controlla (caffè, hotel, aeroporto, sala conferenze), l’attore minaccioso è qualcuno sulla stessa rete. Con HTTPSVersione sicura di HTTP, che cifra la comunicazione tra browser e server tramite TLS.Vedi il glossario generalizzato, non legge già più il contenuto delle Sue pagine. Ma vede i nomi di dominio che risolve se il Suo DNSSistema che risolve i nomi di dominio in indirizzi IP. Vettore di sorveglianza e censura molto sottovalutato.Vedi il glossario non è cifrato, può tentare un MITMAttacco in cui un attore si interpone in una comunicazione tra due parti che credono di essere in contatto diretto.Vedi il glossario su un captive portal, e conosce gli indirizzi IP di destinazione. La VPN chiude in modo pulito questo vettore: tutto parte cifrato verso il server VPN, l’osservatore locale vede solo un flusso opaco. È il caso d’uso più solido, ed è anche l’unico in cui il beneficio è netto e misurabile.

Senza VPN, di fronte ai siti che visita, il sito vede il Suo IP reale. Con la VPN, vede l’IP del server di uscita. Ecco la seconda funzione reale: mascherare il Suo IP a un terzo occasionale. Utile per la ricerca OSINTIntelligence da fonti aperte (pubbliche): social network, registri, archivi.Vedi il glossario in cui non vuole che il bersaglio registri il Suo indirizzo, utile per aggirare una geo-restrizione. Ma è pseudonimizzazione, non anonimato — e la sfumatura deciderà tutto il resto.

Ora l’attore che il marketing fa sparire: il Suo stesso fornitore di VPN. Quando attiva il tunnel, non elimina l’osservatore, lo sostituisce. Il fornitore vede il Suo IP reale al momento della connessione, i Suoi orari, i Suoi volumi, e le destinazioni verso cui instrada il Suo traffico. La sua policy dice “no-log”? È una promessa contrattuale, non una legge della fisica. Vale quanto vale l’audit indipendente che l’ha verificata e la giurisdizione che può vincolarlo. Se la sua infrastruttura viene sequestrata o compromessa, quei dati possono esistere nonostante la promessa. Ha spostato la Sua fiducia da un ISP regolamentato verso una società di cui spesso non sa nulla.

E gli attori che la VPN non tocca mai: i servizi a cui è connesso (Google, Facebook, la Sua banca La identificano tramite la Sua sessione, non tramite il Suo IP), le concessionarie pubblicitarie (che usano il fingerprintingIdentificazione di un dispositivo tramite le caratteristiche uniche del suo browser e del suo sistema.Vedi il glossario, i cookie, gli identificativi mobile — l’IP è secondario), e tutto ciò che riguarda la Sua macchina stessa (malware, phishing, file trappola passano nel tunnel senza alcun ostacolo). La VPN protegge un segmento del trasporto. Non protegge né il contenuto cifrato altrove, né la Sua identità applicativa, né la Sua postazione.

L’anello “fornitore” decide tutto

Poiché accendere una VPN equivale a sostituire un osservatore con un altro, l’unico criterio che conta per la riservatezza non è né la velocità, né il numero di Paesi, né il prezzo: è quanto può fidarsi di chi vede passare tutto. Tre variabili permettono di valutarlo a freddo.

Anzitutto la policy di log e il suo audit. “No-log” ha valore solo se verificato da un terzo indipendente, idealmente in modo ripetuto, e messo alla prova della realtà: è già stato citato da un’autorità, e cosa ha potuto fornire? Un fornitore che strutturalmente non ha nulla da dare — perché non conserva alcun dato di associazione tra una sessione e un’identità — resiste a una richiesta che un fornitore “no-log sulla parola” non reggerà. Poi la giurisdizione: Paese di costituzione della società, trattati di mutua assistenza giudiziaria, obblighi legali di conservazione. Una buona policy in una cattiva giurisdizione resta fragile. Infine il modello economico, che dice tutto: una VPN gratuita deve finanziarsi, e si finanzia quasi sempre rivendendo i Suoi dati di navigazione o iniettando pubblicità nel Suo traffico — cioè facendo esattamente ciò contro cui pensava di proteggersi. Hola VPN ha persino rivenduto la banda dei suoi utenti per farne una botnet di uscita. Per un uso sensibile, la VPN gratuita è l’opzione peggiore, non la meno costosa.

Il panorama dei fornitori si ordina allora in fretta. Mullvad e IVPN rappresentano l’estremità seria: audit ripetuti, pagamento in contanti o Monero, nessuna email richiesta, codice aperto. Proton VPN segue, in Svizzera, sottoposta ad audit, integrata in un ecosistema coerente. All’altro capo, i marchi a martellamento pubblicitario — quelli di cui conosce il nome perché sponsorizzano metà di YouTube — sono stati quasi tutti acquisiti da gruppi d’investimento, con audit di portata limitata e conflitti d’interesse sul dato. Vanno bene per sbloccare un catalogo geo-ristretto. Non sono una scelta di riservatezza.

WireGuard, OpenVPN e il self-hosted

Sul fronte protocollo, la questione è risolta per l’uso corrente. WireGuardProtocollo VPN moderno, semplice e performante, integrato nel kernel Linux.Vedi il glossario sta in circa 4.000 righe di codice, là dove OpenVPN ne allinea quasi 100.000: superficie d’attacco ridotta di un ordine di grandezza, quindi molto più facile da sottoporre ad audit, prestazioni nettamente superiori, latenza bassa, riconnessione quasi istantanea quando cambia rete. È l’impostazione predefinita ragionevole oggi. OpenVPN mantiene la sua pertinenza in casi precisi: compatibilità con certi firewall aziendali restrittivi, flessibilità di configurazione, storico di audit più lungo. Se amministra un accesso remoto aziendale con vincoli di rete particolari, OpenVPN può restare la scelta giusta — ma per un uso personale, prima WireGuard.

Resta l’opzione del WireGuard auto-ospitato su un VPS, seducente per chi vuole controllare tutto. È eccellente per una cosa: cifrare il Suo transito su una rete ostile verso un’infrastruttura che padroneggia. È pessima per la riservatezza, e va detto chiaramente: se è l’unico cliente di quel server, il Suo traffico in uscita è banalmente attribuibile a Lei — non ha alcuna folla in cui dissolversi, contrariamente a un fornitore che mutualizza migliaia di utenti dietro ogni IP di uscita. Il self-hosted Le dà controllo, non anonimato.

I contesti di censura cambiano le regole

In un Paese che pratica il filtraggio di rete attivo — Cina, Russia, Iran — il calcolo si sposta. Il Suo fornitore di accesso locale è, di fatto, un apparato di sorveglianza di Stato: vede l’intero Suo traffico DNS e HTTP, e blocca interi range di IP e protocolli. Una VPN verso un server straniero aggira tutto questo, a condizione che il protocollo non venga rilevato e tagliato. Il Great Firewall cinese sa riconoscere e bloccare gli handshake VPN classici; serve allora WireGuard su una porta non standard, o addirittura protocolli di offuscamento concepiti per somigliare a traffico banale (Shadowsocks, V2Ray). E la regola operativa non ammette eccezioni: la VPN va installata, configurata e testata prima della partenza. Una volta sul posto, gli store delle app e i siti dei fornitori sono spesso irraggiungibili. Tentare di scaricare il client dall’aeroporto di destinazione significa arrivare troppo tardi.

L’approccio giusto: uno strumento, un uso, una frontiera netta

Il passaggio pragmatico sta in una frase: una VPN non è una postura di sicurezza, è una funzione di trasporto che si attiva per un uso preciso e che si valuta su quell’uso. Smetta di chiedere “qual è la migliore VPN” e cominci da “cosa voglio impedire esattamente”. La risposta detta la scelta — o l’assenza di scelta.

Se il Suo scopo è cifrare il Suo transito su una rete non padroneggiata, qualsiasi VPN seria va bene, e il criterio diventa l’affidabilità tecnica: protocollo WireGuardProtocollo VPN moderno, semplice e performante, integrato nel kernel Linux.Vedi il glossario di default (circa 4.000 righe di codice contro ~100.000 di OpenVPN — superficie d’attacco ridotta, riconnessione istantanea, latenza bassa), kill-switch che taglia tutto se il tunnel cade, e DNS forzato nel tunnel per non far trapelare nulla. Se il Suo scopo è la riservatezza di fronte al Suo fornitore, il criterio diventa la fiducia nel fornitore: Mullvad è il riferimento — no-log sottoposto ad audit ripetuti da terzi, pagamento in contanti o cripto possibile, nessuna email richiesta (solo un numero di conto casuale), open source. ProtonSuite svizzera di strumenti privacy (Mail, VPN, Drive, Pass, Calendar) con modello open-source.Vedi il glossario VPN è l’altra scelta seria, svizzera, sottoposta ad audit, open source. IVPN nello stesso spirito. Tutto il resto — i marchi a martellamento pubblicitario, acquisiti da fondi, con audit di portata limitata — va bene per sbloccare Netflix e nient’altro.

Se il Suo scopo è l’anonimato reale — fonti giornalistiche, whistleblower, contesti in cui la Sua identità deve essere impossibile da collegare alla Sua attività — allora nessuna VPN commerciale basta. Le serve TorRete anonimizzante che fa transitare il traffico attraverso 3 relay successivi per nascondere l'origine.Vedi il glossario, concepito perché nessun singolo nodo conosca contemporaneamente chi è e cosa fa. La VPN non sostituisce mai Tor; al massimo lo precede. Confondere i due è il tipo di errore che costa una fonte, non un abbonamento.

E se il Suo scopo non è nessuno dei tre — vuole “meno pubblicità” o “non essere più tracciato” — allora la VPN semplicemente non è lo strumento. La misura che cambia qualcosa è un blocco serio (uBlock Origin), un browser rafforzato, e il DNSSistema che risolve i nomi di dominio in indirizzi IP. Vettore di sorveglianza e censura molto sottovalutato.Vedi il glossario cifrato. Comprare una VPN per questo è mettere un lucchetto sulla porta sbagliata.

Una volta scelti l’uso e il fornitore, tre impostazioni separano una VPN che protegge realmente da una VPN decorativa. Il kill-switch anzitutto: taglia ogni connessione di rete se il tunnel cade, il che evita la fuga più comune — l’istante in cui la VPN si riconnette dopo un cambio di rete e il Suo traffico passa in chiaro per qualche secondo. Senza kill-switch, quei secondi bastano a esporre il Suo IP reale al sito che stava consultando. Il DNS nel tunnel poi: molte configurazioni lasciano uscire le richieste DNS attraverso il resolver di sistema, quindi visibili alla rete locale e all’ISP anche con VPN attiva. Un test su dnsleaktest.com dopo la connessione Le dice in trenta secondi se sta facendo trapelare. Lo split tunneling infine, che fa passare solo una parte del traffico attraverso la VPN: pratico per mantenere l’accesso a una stampante locale o a un servizio bancario che blocca gli IP delle VPN, ma trappola per una sessione sensibile — tutto ciò che è fuori dal tunnel è esposto. Per una sessione che conta, si disattiva lo split tunneling e si fa passare tutto nel tunnel.

L’ultimo riflesso è una questione di ordine: si attiva la VPN prima di connettersi, mai dopo. Se apre un sito e poi accende il tunnel, il sito ha già registrato il Suo IP reale e il Suo dispositivo ha forse già risolto domini in chiaro. Il gesto tardivo è cosmetico. La disciplina sta in una frase: prima il tunnel, poi la navigazione.

Cosa comporta concretamente

Errori che si vedono di continuo

• Credere che attivare la VPN renda anonimi. Finché è connesso ai Suoi account Google, Apple, Meta, è identificato, IP mascherato o no. L’anonimato passa per TorRete anonimizzante che fa transitare il traffico attraverso 3 relay successivi per nascondere l'origine.Vedi il glossario e una disciplina d’identità, mai per un semplice tunnel.
• Usare una VPN gratuita per un uso sensibile. Il modello economico di una VPN gratuita è Lei: rivendita di dati di navigazione, iniezione di pubblicità, o peggio. È esattamente l’opposto di ciò che cerca.
• Non verificare la fuga DNS. Molte configurazioni lasciano uscire le richieste DNSSistema che risolve i nomi di dominio in indirizzi IP. Vettore di sorveglianza e censura molto sottovalutato.Vedi il glossario dal tunnel. Il Suo ISP vede allora tutti i domini che visita, VPN attiva o no. Un test su dnsleaktest.com richiede trenta secondi.
• Attivare la VPN dopo aver iniziato a navigare. Se si connette a un sito prima di accendere il tunnel, il Suo IP reale è già registrato. Prima la VPN, poi la navigazione — altrimenti il gesto è cosmetico.
• Confondere VPN aziendale e VPN di riservatezza. La prima è un controllo d’accesso, la seconda uno strumento personale. Mescolarle in una comunicazione produce collaboratori falsamente rassicurati.
• Scaricarla sul posto nei Paesi a censura. In Cina, in Russia, in Iran, gli store e i siti delle VPN sono spesso bloccati. Tentare di installare il client dall’aeroporto di destinazione è generalmente troppo tardi: va installata, configurata e testata prima della partenza.

Checklist azionabile

• N1 Definire l'uso prima dello strumento: Wi-Fi non padroneggiato? mascheramento IP occasionale? accesso al sistema informativo? anonimato reale? — ogni risposta detta una soluzione diversa
• N1 Se riservatezza consumer: scegliere Mullvad, Proton VPN o IVPN, mai un fornitore a martellamento pubblicitario né una VPN gratuita
• N2 Attivare WireGuard come protocollo di default e il kill-switch
• N2 Verificare l'assenza di fuga DNS su dnsleaktest.com dopo la connessione
• N2 Attivare la VPN PRIMA di connettersi a una rete o a un sito, mai dopo
• N2 Per il tracciamento pubblicitario e il fingerprinting: uBlock Origin + browser rafforzato, non una VPN
• N3 Per un anonimato reale (fonte, whistleblower): Tor, mai una VPN commerciale da sola
• N3 Missione in Paese a censura: installare, configurare e testare la VPN prima della partenza
• N3 Sul fronte organizzazione: vietare le VPN consumer sui terminali gestiti e rilevarle tramite MDM
• N3 Sul fronte organizzazione: pianificare lo spostamento dalla VPN di rete full tunnel verso un accesso per risorsa (ZTNA / Zero Trust)

Per approfondire

I riferimenti che reggono figurano nel frontmatter. Legga prima il threat model di ProtonVPN(opens in a new tab): è uno dei rari documenti di un fornitore che dice onestamente contro cosa il suo prodotto protegge e contro cosa no. Gli audit no-log di Mullvad(opens in a new tab), ripetuti e pubblici, mostrano com’è fatta una promessa verificabile invece di una formula di marketing. E il whitepaper di WireGuard(opens in a new tab) spiega perché un protocollo da 4.000 righe ha sostituito un mastodonte da 100.000 — un buon promemoria del fatto che la sicurezza si guadagna riducendo la superficie d’attacco, non impilando funzioni. Per il seguito logico, veda Wi-Fi pubblico, Rafforzare il proprio DNS ed eSIM da viaggio.