Come valutare una VPN gratuita senza fidarsi della pubblicità

Niente su una pagina dei prezzi vi dice chi può osservare il vostro traffico. Quella risposta vive nei registri di proprietà, nelle tabelle di conservazione e nelle impostazioni del client che installate davvero, e leggerli bene richiede un pomeriggio. Un badge che dice 'anonimo' non nomina alcun osservatore, quindi non c’è nulla da verificare. I cinque passaggi qui sotto trasformano la pubblicità in affermazioni che potete testare una alla volta.

Chi gestisce davvero l’uscita

Iniziate dall’entità giuridica e dal paese i cui tribunali possono obbligarla. Una pagina di contatto che offre solo un modulo web non è una via di contatto; volete un indirizzo postale o un numero di registrazione che possiate cercare. Volontari nominati e un rivenditore dietro una casella di posta sono entrambi accordi plausibili, ma falliscono in modi diversi quando arriva una controversia di pagamento o una richiesta di rimozione. Annotate con quale dei due avete a che fare prima che venga installato qualcosa.

Poi classificate il deployment a cui aderite. Un’uscita promozionale commerciale, un nodo volontario da una directory pubblica e un gateway aziendale che non vi costa nulla sono tre accordi diversi, e la parte che decide chi può connettersi non è la stessa in ciascuno.

La classificazione predice il guasto che incontrerete: un servizio finanziato dalla pubblicità può limitare la velocità o iniettare contenuti, un nodo volontario può sparire da un giorno all’altro e un gateway di lavoro può registrare tutto per policy. Nessuno di questi esiti compare in un numero di server. Decidere con quale rischio potete convivere è il vero passo di selezione.

Quattro categorie di dati da pretendere

Chiedete che la policy sia divisa in quattro parti: attività di navigazione, metadati di connessione, registri dell’account e diagnostica. Una pagina che promette nessun log senza queste divisioni non vi ha detto cosa conserva. I metadati di connessione sono la parte che la maggior parte degli operatori trattiene, perché una segnalazione di abuso arriva con un indirizzo e una marca temporale allegati. Un operatore che ammette di conservarli per un periodo dichiarato è più facile da valutare di uno che nega tutto. Leggete la finestra di conservazione di ogni categoria e la procedura che segue una richiesta legale.

Le affermazioni di audit richiedono lo stesso trattamento. Leggete l’ambito, l’auditor e la data, poi chiedete cosa copre il rapporto: una revisione di un’applicazione client dice poco su come è configurato un server, e un rapporto di qualche anno fa descrive un servizio che da allora è cambiato. Se questi dettagli mancano, trattate il badge come marketing.

Manutenzione visibile dall’esterno

Il software che ha smesso di ricevere aggiornamenti è un problema di sicurezza qualunque protocollo vi sia stampato sopra. Cercate un canale di rilascio con voci datate e un modo documentato di segnalare una vulnerabilità, perché entrambi costano poco da pubblicare e sono difficili da falsificare per anni.

L’etichetta di un protocollo descrive un componente del percorso, non la parte all’altro capo. WireGuard può essere aggiornato e terminare comunque presso un operatore che tiene un registro dettagliato delle connessioni, e lo stesso vale per OpenVPN o qualsiasi altra cosa. Giudicate la build del client che vi dicono di installare e il percorso di aggiornamento dietro di essa, poi giudicate l’operatore come questione separata. L’etichetta dice come vengono incapsulati i byte, non chi li apre.

Dimostrate la rotta e il kill switch

Installate il profilo nel client che userete davvero, collegatelo e guardate cosa crede la macchina del proprio traffico. Su Linux, tre comandi rispondono alla maggior parte della domanda:

curl -s https://ifconfig.me
ip route get 1.1.1.1
wg show

Il primo stampa l’indirizzo che vede un sito remoto, che dovrebbe essere l’uscita che avete scelto; il secondo mostra dev wg0 quando la rotta predefinita viene catturata; il terzo riporta un handshake misurato in secondi. Una rotta che punta ancora a eth0, o un handshake vecchio di ore, significa che il tunnel non trasporta ciò che supponete.

Ripetete la ricerca dell’indirizzo dopo aver abbassato l’interfaccia con sudo wg-quick down wg0. Se la richiesta scade, il traffico era bloccato mentre il tunnel mancava, ed è esattamente ciò che dovrebbe fare un kill switch; se restituisce l’indirizzo del vostro ISP domestico, nulla era protetto. Controllate anche la copertura delle rotte del client, perché un tunnel diviso che esclude le destinazioni che vi interessano è un prodotto diverso da quello pubblicizzato. Entrambe le risposte vanno nelle vostre note, accanto all’output che le ha prodotte.

Segreti, lacune e una decisione in una frase

Un file di profilo o una credenziale dell’account è una chiave per una posizione di rete, quindi trattatelo come qualsiasi altro segreto. Non incollatelo in un forum di supporto, non riutilizzate la password altrove e revocatelo quando smettete di usare il servizio. Se la documentazione non spiega mai chi finanzia il servizio o per quanto tempo i registri vengono conservati, annotatelo come domanda aperta. Una lacuna inspiegata è un fatto sull’operatore, non una ragione per inventare una spiegazione generosa.

La guida dell’EFF per scegliere una VPN pone le stesse domande dal lato dell’utente ed è un punto di partenza migliore di una tabella comparativa. Quando i passaggi sono finiti, provate a enunciare la vostra scelta in una frase: chi la gestisce, cosa trattengono e cosa avete testato. Se quella frase richiede un’affermazione che non avete potuto verificare, la decisione non è completa. Uno strumento gratuito non cancella un problema di privacy; nel migliore dei casi consegna il problema a un operatore che avete scelto a occhi aperti. Conservate le note, perché una policy può cambiare molto prima che ve ne accorgiate.