Come separare il supporto dei protocolli VPN dalla fiducia nell'operatore

Sono aperte due schede di fornitori, entrambi pubblicizzano WireGuard, e il confronto si è bloccato su una frase: il tunnel è solido, quindi il servizio deve essere a posto. È un'inferenza sbagliata. Il protocollo definisce come due peer cifrano e autenticano, ma non dice nulla su chi gestisce l'endpoint, su cosa memorizza il sistema degli account o su come l'azienda risponde a una richiesta legale. Bisogna separare queste domande prima che un badge le risolva al posto vostro.

Che cosa può certificare un'etichetta di protocollo e che cosa no

WireGuard specifica un handshake costruito su Noise, un insieme fisso di primitive moderne e un modello di routing in cui AllowedIPs decide cosa entra nel tunnel. Sono garanzie reali sui formati dei messaggi e sullo scambio di chiavi, e vale la pena averle. Sono anche garanzie sul codice, non sulla macchina su cui quel codice gira.

L'implementazione lascia comunque scelte. Un fornitore può caricare il modulo del kernel o distribuire una build in spazio utente, spingere il DNS attraverso il tunnel o lasciarlo al resolver locale, e ruotare le chiavi secondo il proprio calendario. Nessuna di queste scelte compare sull'etichetta del protocollo, e ognuna cambia ciò che il servizio può osservare.

OpenVPN rende il divario più facile da vedere. Il suo handshake TLS e il suo modello di certificati possono essere configurati bene o male, con o senza tls-auth, con cifrari moderni o con un fallback di compatibilità. Due servizi possono entrambi dire OpenVPN e finire con un'esposizione molto diversa. La pagina del protocollo WireGuard è precisa sulla crittografia e silenziosa sull'operatore, ed è esattamente il confine da tenere a mente.

Ciò a cui solo l'operatore può rispondere

Cominciate dalla proprietà. L'endpoint è su hardware che il fornitore controlla, su un VPS affittato o su una macchina volontaria nell'appartamento di qualcuno? La risposta decide chi può copiare un disco, chi applica patch al kernel e chi nota un accesso strano. Un confronto tra protocolli non arriva a nulla di tutto questo.

Poi vengono i registri dell'account e dei pagamenti. Un indirizzo email, un timestamp di rinnovo, un'impronta della carta e un ticket di supporto vivono tutti fuori dal tunnel. Lo stesso vale per il resolver: se il fornitore gestisce un DNS proprio, vede i nomi anche quando le pagine sono in HTTPS. Chiedete la conservazione in giorni, non la parola minimo.

Ordinate le risposte in due colonne, perché hanno peso diverso. Una colonna descrive il software; l'altra è una promessa che il servizio deve mantenere.

Le promesse si verificano solo contro documenti. Un fornitore che non sa indicare il proprio periodo di conservazione non sta rivelando un difetto del protocollo; vi sta mostrando la qualità dei suoi registri, ed è proprio quello che cercavate di giudicare.

Controllate il profilo che il client applica davvero

Il client è il punto in cui un profilo astratto diventa rotte. Su Linux con wg-quick, la configurazione ripulita mostra esattamente cosa verrà applicato, comprese le righe DNS e AllowedIPs che una GUI può nascondere dietro un interruttore.

sudo wg-quick strip wg0
sudo wg show wg0 latest-handshakes
resolvectl status wg0

Leggete l'output come tre fatti separati. AllowedIPs pari a 0.0.0.0/0 significa che l'intera rotta predefinita entra nel tunnel; una riga DNS significa che i nomi vanno al resolver indicato dal profilo; un handshake recente significa che la sessione è viva. Un keepalive persistente vi dice che il client tiene aperta una mappatura NAT, il che è una scelta di comportamento, non una valutazione di sicurezza.

Qui conta un'avvertenza. Questi comandi verificano il tunnel che avete, non la politica che vi sta dietro. Un handshake perfetto dimostra che la crittografia funziona; non dimostra che i registri di connessione del mese scorso siano stati cancellati, perché quell'evento non lascia traccia sulla vostra macchina.

Prove che sopravvivono a una pagina di marketing

Chiedete un rapporto di audit indipendente e leggete la sua portata prima del logo. I rapporti indicano l'infrastruttura, il periodo e le eccezioni; molti coprono i server VPN ma lasciano il portale dell'account, la fatturazione e gli strumenti di supporto fuori dalla revisione. Un audit che esclude i sistemi che conservano il vostro indirizzo email risponde a una domanda più stretta di quanto insinui la pagina di vendita.

Poi leggete l'informativa sulla privacy per le categorie, non per gli aggettivi. Un'informativa utile indica cosa viene raccolto, perché e per quanto tempo, e distingue i metadati di connessione dai dati dell'account. Un rapporto di trasparenza, se esiste, mostra se il fornitore ha davvero un processo per le richieste, anche se i suoi numeri valgono solo quanto l'entità che li pubblica.

L'open source aiuta a livello di client e si ferma lì. Un client leggibile dimostra cosa invia il vostro dispositivo; non dimostra cosa conserva il server. Le build riproducibili riducono il divario tra codice pubblicato e codice consegnato, ma descrivono ancora software, non operazioni.

Un breve test su tre documenti filtra la maggior parte delle affermazioni: un'informativa con categorie nominate e conservazione, un audit aggiornato con una portata dichiarata e una risposta scritta del supporto su uno scenario concreto. Se manca uno dei tre, trattate quell'affermazione specifica come non verificata, non come falsa.

Dove si trova la linea in pratica

Con un endpoint volontario, giudicate l'host individuale. La reputazione del progetto software non si trasferisce a ogni macchina che lo esegue, e la persona che gestisce quella macchina può non avere alcun rapporto con il progetto. Le reti commerciali organizzano la responsabilità diversamente, ma continuano a concentrarla in un'unica entità.

L'auto-hosting ribalta la domanda. Diventate voi l'operatore, quindi il supporto del protocollo è risolto e la fiducia diventa la vostra applicazione di patch, la vostra gestione delle chiavi e la vostra conservazione dei log. È una risposta legittima per alcuni lettori, non un aggiramento.

Per un servizio a pagamento, il contratto e la giurisdizione fanno parte del prodotto. Cambi di proprietà, acquisizioni e norme locali sulla divulgazione possono modificare gli obblighi dell'operatore senza toccare il protocollo, ed è per questo che un confronto che si ferma alla scheda tecnica invecchia.

Annotate i tre fatti che non siete riusciti a verificare sul sito. Inviateli al supporto e conservate la risposta. Una risposta concreta sposta il servizio in un'altra categoria, e il silenzio è anch'esso una risposta che appartiene al vostro confronto.