Securitywatch: quanto è pericoloso il tuo VPN straniero?

Una storia è scoppiata tranquillamente a fine maggio e da allora ho continuato a masticare. Raccontava come i membri del Congresso degli Stati Uniti facessero un sacco di battute a mano sulla minaccia rappresentata dalle VPN straniere . La preoccupazione dei legislatori era che se si utilizza una VPN straniera , un governo straniero potrebbe intercettare la tua attività. Le compagnie straniere , ha affermato, potrebbero essere più suscettibili alle pressioni dei governi stranieri e che queste VPN straniere potrebbero consegnare informazioni personali o anche i contenuti delle tue attività online.

Potrebbe essere tutto vero, ma non è meno vero per le VPN domestiche. Una VPN crea una connessione crittografata tra il dispositivo e un server controllato dalla società VPN. Il tuo traffico viaggia attraverso il tunnel, nascondendolo dai ficcanaso su una rete locale e dal tuo ISP - che, ironicamente, il Congresso ha detto che può spiarti a scopo di lucro. Quando il tuo traffico raggiunge il server VPN, quindi esce su Internet prima di effettuare il viaggio di ritorno.

Questo mette effettivamente le VPN nel ruolo del tuo ISP, in quanto potenzialmente possono vedere tutto ciò che fai online. È una delle maggiori preoccupazioni sulle VPN come settore ed è vero per tutte le VPN. Una VPN con sede negli Stati Uniti potrebbe intercettare la tua attività, consegnare le tue informazioni alle forze dell'ordine statunitensi o soccombere alle pressioni delle agenzie di intelligence statunitensi. Questi sono i rischi legati all'utilizzo di qualsiasi VPN e non vengono sostanzialmente modificati semplicemente spostando gli uffici di quella società in un fuso orario diverso.

Posizione, posizione, posizione

Le VPN sono fondamentalmente strumenti di privacy e se fanno un brutto lavoro proteggendo la privacy dei clienti, si spera che facciano un brutto lavoro competendo sul mercato. In effetti, gran parte del discorso (spesso discutibile) che circonda le società VPN è se mantengono davvero le tue informazioni private. Le VPN generalmente cercano di posizionarsi come amministratori fidati delle tue informazioni, di solito definendo la politica aziendale che proibisce la raccolta di informazioni sugli utenti, pubblicando una politica sulla privacy che spiega i dettagli e costruendo la privacy nel loro prodotto reale. Una tendenza recente è per le aziende di commissionare audit di terze parti sui loro prodotti, per rafforzare le pretese di affidabilità.

Come esempio dei tipi di passaggi che i servizi VPN adottano per garantire la tua privacy, Accesso privato a Internet ti fornisce un ID utente quando crei un account. Questo è separato dalle informazioni fornite per elaborare il pagamento dell'abbonamento. Se funziona correttamente, ciò significa che la società non è in grado di identificare un singolo utente anche se costretto dalla legge o se le forze dell'ordine hanno sequestrato i propri server.

Le VPN spesso esistono in molti luoghi contemporaneamente. AnchorFree, la società dietro Hotspot Shield VPN, ha sede in California con un ufficio a Zurigo, Svizzera. La società afferma di operare sotto la giurisdizione legale degli Stati Uniti e della Svizzera. È una VPN straniera ? Il prodotto AnchorFree è ampiamente rinominato e venduto da altre società, alcune con sede negli Stati Uniti e altre no. Quelle sono VPN straniere ?

Le società VPN hanno spesso uffici in un paese mentre operano sotto la giurisdizione legale di un altro. Le società VPN mantengono anche flotte di server in tutto il mondo. Ognuna di queste posizioni potrebbe essere diversa da quella in cui la società VPN è sotto la giurisdizione legale.

Detto questo, la giurisdizione legale è importante, perché questo è il quadro in base al quale i tuoi dati saranno protetti. Osservando le Isole Vergini britanniche, le società VPN hanno scoperto come le forze dell'ordine locali non accetteranno semplicemente i warrant emessi da altri governi. Invece, quei warrant devono saltare attraverso ulteriori cerchi prima di poter essere applicati a una società nelle Isole Vergini britanniche. Allo stesso modo, le società VPN in luoghi come la Germania e la Svizzera hanno sottolineato le forti leggi sulla privacy di quei paesi.

Qui dovrei notare che è difficile verificare che l'utilizzo di un servizio in un determinato luogo contribuirà effettivamente a proteggere i tuoi dati.

Un modo in cui le VPN cercano di proteggere i clienti e commercializzare se stessi è attraverso la sede dell'azienda. NordVPN, ad esempio, ha sede a Panama, un fatto che pubblicizza come vantaggio per la privacy e la sicurezza dei clienti a causa della legge locale. ProtonVPN desidera sottolineare che è svizzero. Quando rivedo una VPN, di solito elenco la sua posizione e giurisdizione legale insieme ai protocolli VPN e alla politica sulla privacy, perché in effetti, la posizione di una società VPN è un'altra caratteristica.

Anche la posizione può avere un valore emotivo. Alcuni lettori mi hanno detto che non possono fidarsi delle aziende con sede nell'Europa orientale, a causa della loro associazione con gruppi di hacker russi. Altri mi hanno detto che qualsiasi VPN con sede negli Stati Uniti è inaccettabile a causa della storia della sorveglianza di massa di questo paese. Le VPN basate a Hong Kong (come semi-distinte dalla Cina continentale) sono spesso attaccate con l'accusa che lo stato di sorveglianza deve avere una stretta presa su di loro. Molti sostengono un argomento simile contro il consentire a Huawei di fornire apparecchiature per infrastrutture Internet.

Queste aziende spesso contrastano con l'argomentazione secondo cui le regole speciali della città la rendono una posizione eccellente per i dati privati.

In realtà, c'è un caso forte da sostenere che gli Stati Uniti abbiano una delle operazioni di sorveglianza e raccolta dei dati più aggressive al mondo. Le società di social media a volte ricevono lettere di sicurezza nazionale dal DHS, che richiedono loro di consegnare informazioni e non rivelare di averlo fatto. L'NSA ha operato quella che è forse la più grande operazione di intercettazione di dati che il mondo abbia mai visto, che ha colpito sia i cittadini statunitensi che gli obiettivi oltremare.

Inoltre, la NSA è stata accusata di trarre vantaggio dalla posizione critica degli Stati Uniti nell'infrastruttura di dati, sfruttando le linee attraverso cui scorre il traffico Internet globale e presumibilmente copiandolo in tempo reale, forse ironicamente, dato che gli Stati Uniti sostengono lo stesso argomento contro Huawei, come menzionato sopra. Questo per non parlare degli accordi di condivisione delle informazioni che consentono a numerose nazioni alleate, compresi gli Stati Uniti, di scambiare informazioni a prescindere dal luogo. Alla luce di tutto ciò, è difficile discutere con persone che vedono le aziende VPN con sede negli Stati Uniti come un potenziale rischio.

Fa (e non fa) importanza

Se tutto funziona correttamente, ci dovrebbe essere poca differenza tra una VPN straniera e una che ha alcuni o tutti i suoi uffici negli Stati Uniti. La matematica che fa funzionare la crittografia non rispetta i confini. Allo stesso modo, le misure per proteggere la privacy e la sicurezza degli utenti sono ben comprese e possono essere implementate ovunque. Molte società VPN scelgono dove basare le proprie aziende per beneficiare delle leggi locali sulla privacy o per fare appello a una risposta emotiva da parte dei consumatori.

• Backstabbing, disinformazione e cattivo giornalismo: lo stato del settore VPN Backstabbing, disinformazione e cattivo giornalismo: lo stato del settore VPN
• La privacy online è un diritto, non un lusso La privacy online è un diritto, non un lusso
• Per salvare Internet, dobbiamo romperlo Per salvare Internet, dobbiamo romperlo

Ciò che conta è quando le società VPN non crittografano le cose correttamente o quando, per ignoranza o volontà, non seguono le migliori pratiche per proteggere la privacy dei propri utenti. Una VPN scarsamente protetta potrebbe essere straniera , ma potrebbe anche avere la mia sede in fondo alla mia strada. Invece di chiedersi dove hanno sede le aziende o quali "valori" hanno, il Congresso dovrebbe supportare metodi per utenti e ricercatori per verificare le affermazioni fatte dalle società VPN.

L'industria della sicurezza è piena di marketing basato sulla paura, l'incertezza e il dubbio, collettivamente chiamati FUD. Una lunga discussione sulle VPN straniere nelle sale del Congresso rientra in quella categoria, specialmente quando il gruppo conclude che qualsiasi minaccia esiste è minima. FUD ha sempre uno scopo, e invece di chiedere dove sia il posto migliore dove mettere una VPN, forse dovremmo concentrarci sul perché questa conversazione è avvenuta in primo luogo.