Una VPN no-log sembra semplice: il provider afferma di non tenere traccia di ciò che fanno gli utenti online. In pratica la frase è molto meno precisa. Alcune VPN utilizzano il “no log” per indicare che non memorizzano l’attività di navigazione. Altri ancora raccolgono timestamp di connessione, identificatori di dispositivo, dati di larghezza di banda, rapporti sugli arresti anomali, dettagli dell’account, record di pagamento o metadati antiabuso.
Questa differenza è importante. Una VPN si colloca tra l’utente e la rete Internet più ampia. Può nascondere l’attività di navigazione di un provider di servizi Internet o di un operatore Wi-Fi pubblico, ma concentra anche la fiducia nel provider VPN. Se il fornitore raccoglie troppe informazioni, utilizza un linguaggio vago sulla privacy o opera senza verifica esterna, una richiesta di no-log diventa più una linea di marketing che una garanzia di privacy.
Per gli utenti che confrontano i servizi VPN, la vera domanda non è se un sito web dice “no log”. La domanda migliore è: cosa esattamente non viene registrato, cosa viene ancora raccolto, per quanto tempo viene conservato e chi ha verificato il reclamo?
Cosa dovrebbe significare “nessun registro”
Una forte politica di no-log dovrebbe significare che la VPN non memorizza informazioni che possano collegare un utente alla sua attività online. Ciò include cronologia di navigazione, query DNS, indirizzi IP di destinazione, contenuti del traffico, file scaricati, utilizzo delle app e record di sessione che collegano un account utente a un’attività specifica in un momento specifico.
Le politiche più forti sono specifiche. Dicono cosa il fornitore non raccoglie, cosa raccoglie, perché quei dati sono necessari e quando vengono eliminati. Le politiche deboli spesso si basano su affermazioni generiche come “rispettiamo la tua privacy” o “non tracciamo gli utenti” senza definire cosa significhi “tracciare”.
Una VPN potrebbe comunque aver bisogno di alcune informazioni per eseguire il servizio. Esempi comuni sono gli indirizzi e-mail dell’account, lo stato del pagamento, il piano di abbonamento, la versione dell’app, il conteggio dei dispositivi, i messaggi dell’assistenza clienti e la diagnostica operativa di base. Il problema non è se un fornitore raccoglie o meno dati. La questione è se i dati raccolti potrebbero essere utilizzati per ricostruire il comportamento di navigazione di un utente o identificare cosa ha fatto durante una sessione VPN.
I quattro tipi di log VPN che gli utenti dovrebbero conoscere
Non tutti i registri comportano lo stesso rischio per la privacy. Un modo utile per valutare una policy VPN è separare i log in quattro categorie.
I registri delle attività sono i più sensibili. Questi possono includere siti Web visitati, query di ricerca, richieste DNS, contenuti a cui si accede, file scaricati, messaggi inviati e servizi utilizzati. Una VPN che conserva i registri delle attività non dovrebbe essere trattata come un servizio no-log incentrato sulla privacy.
I registri di connessione sono più complicati. Questi possono includere l’ora in cui un utente si è connesso, l’ora in cui si è disconnesso, la quantità di dati trasferiti, l’indirizzo IP originale, il server VPN utilizzato e l’indirizzo IP assegnato dalla VPN. Alcuni dati di connessione potrebbero essere utilizzati temporaneamente per la risoluzione dei problemi o la prevenzione di abusi. Ma se conservati per lunghi periodi possono diventare metadati identificativi.
I registri degli account includono le informazioni fornite dagli utenti al momento della registrazione o del pagamento. Indirizzi e-mail, nomi utente, fatture, processori di pagamento, cronologia dei rinnovi e ticket di supporto possono tutti connettere una persona reale a un account VPN. Questi registri possono essere inevitabili, ma dovrebbero essere chiaramente divulgati.
I log diagnostici includono report sugli arresti anomali, dati sulle prestazioni delle app, tipo di dispositivo, versione del sistema operativo ed eventi di analisi. Questi sono spesso considerati innocui, ma possono comunque rivelare schemi. Gli utenti dovrebbero verificare se la diagnostica è facoltativa, resa anonima, ridotta a icona ed eliminata rapidamente.
“Nessun registro delle attività” non è la stessa cosa di “nessun registro”
Un trucco comune è utilizzare “nessun registro” come abbreviazione di “nessun registro delle attività”. Ciò può essere comunque utile, ma non equivale a raccogliere dati non significativi.
Ad esempio, una VPN potrebbe affermare di non registrare la cronologia di navigazione pur memorizzando indirizzi IP di origine, timestamp di connessione, totali di larghezza di banda e identificatori di dispositivo. Tali dati potrebbero non mostrare la pagina esatta visitata da un utente, ma possono comunque essere sensibili. In alcuni casi, i metadati possono essere sufficienti per restringere il campo su chi si è connesso, quando si è connesso e quale server ha utilizzato.
Questo è il motivo per cui gli utenti dovrebbero guardare oltre l’affermazione del titolo e leggere l’informativa sulla privacy. Le migliori policy utilizzano un linguaggio semplice ed elencano campi dati specifici. Le politiche più deboli si nascondono dietro un linguaggio generico come “potremmo raccogliere informazioni necessarie per fornire il servizio” senza dire quali siano tali informazioni.
Gli audit indipendenti sono importanti, ma non sono magici
Gli audit di terze parti sono diventati uno dei principali modi in cui i provider VPN cercano di dimostrare le loro affermazioni no-log. Un vero e proprio audit può essere utile perché un’azienda esterna esamina parti dei sistemi, delle politiche, dell’infrastruttura o della configurazione del server del fornitore.
Ma gli utenti non dovrebbero considerare la parola “verificato” come una risposta definitiva. L’ambito è importante.
Un buon audit dovrebbe rispondere a diverse domande. Chi l’ha eseguito? Quando è stato completato? Si è trattato di un controllo no-log, di un controllo di sicurezza o di una revisione generale della conformità? Ha ispezionato l’infrastruttura dei server, i sistemi backend, le app, i controlli di accesso interni e le pratiche di conservazione dei dati? Il report è pubblico, riepilogativo o disponibile solo per i clienti? Sono stati riscontrati problemi? Sono stati riparati?
Un vecchio audit è meno utile di uno recente. Un audit ristretto è meno utile di uno che copra i sistemi in cui i log verrebbero effettivamente creati o archiviati. Un riepilogo dell’audit privato è meno utile di un rapporto pubblico che ne spieghi la metodologia e i limiti.
Gli audit catturano anche un punto nel tempo. Un fornitore può modificare l’infrastruttura, la proprietà, gli strumenti interni o le pratiche relative ai dati dopo un audit. Ciò non rende gli audit inutili, ma significa che dovrebbero essere trattati come un segnale tra tanti.
Server solo RAM e infrastruttura per la privacy
Alcuni provider VPN utilizzano server solo RAM, a volte chiamati infrastrutture diskless. In questa configurazione, i server vengono eseguiti dalla memoria volatile invece di scrivere dati persistenti sui dischi rigidi. Quando il server viene riavviato o spento, i dati in memoria vengono cancellati.
Ciò può ridurre il rischio di conservazione dei dati a lungo termine. Può anche rendere meno utili i sequestri dei server perché non dovrebbe esserci un disco tradizionale pieno di registri storici. Ma l’infrastruttura basata solo sulla RAM non sostituisce una chiara politica sulla privacy o un controllo di terze parti. Se i sistemi backend di un’azienda raccolgono i metadati degli utenti altrove, i server VPN diskless da soli non risolvono il problema.
Gli utenti dovrebbero considerare i server solo RAM come un controllo tecnico positivo, non come una prova che non esistono registri.
Giurisdizione e richieste legali
Un fornitore VPN è soggetto alle leggi dei paesi in cui opera, dove è registrato e dove dispone di infrastrutture o personale. La giurisdizione non rende automaticamente una VPN sicura o non sicura, ma influisce sul modo in cui il fornitore può rispondere alle richieste legali.
Un fornitore no-log dovrebbe spiegare come gestisce le richieste delle forze dell’ordine. Idealmente, dovrebbe pubblicare un rapporto sulla trasparenza che indichi quante richieste riceve e come risponde. Alcuni fornitori pubblicano anche canoni di garanzia, sebbene questi non costituiscano una protezione perfetta e non dovrebbero sostituire un processo legale chiaro.
Il punto chiave è semplice: se una VPN non raccoglie dati identificativi delle attività, ha informazioni meno utili da fornire. Se raccoglie metadati, le richieste legali possono avere molta più importanza.
Le VPN gratuite necessitano di un controllo più approfondito
Una VPN gratuita non è automaticamente negativa, ma gli utenti dovrebbero essere più scettici. L’infrastruttura VPN costa denaro. Server, larghezza di banda, progettazione, controlli della sicurezza, assistenza clienti e prevenzione degli abusi hanno tutti costi reali. Se gli utenti non pagano direttamente, il fornitore ha bisogno di un altro modello di business.
Alcune VPN gratuite funzionano come versioni limitate di prodotti a pagamento. Altri si affidano alla pubblicità, all’analisi, alle partnership di dati o alla monetizzazione del traffico. Gli utenti dovrebbero verificare se il piano gratuito ha una politica sulla privacy separata, se condivide i dati con inserzionisti o partner di analisi e se l’app richiede autorizzazioni che non corrispondono al servizio.
La domanda più importante non è “È gratis?” La domanda è: “Come fa questa azienda a pagare il servizio senza trasformare i dati dell’utente nel prodotto?”
Segnali di allarme in una politica no-log
Diversi segnali dovrebbero rendere gli utenti cauti.
Una politica secondo cui il fornitore “può raccogliere” ampie categorie di dati senza spiegare i limiti è un problema. Lo stesso vale per il linguaggio che consente la condivisione dei dati con “partner”, “affiliati” o “terze parti fidate” senza nominarli o spiegare perché la condivisione è necessaria.
Un’altra bandiera rossa è una mancata corrispondenza tra la home page e l’informativa sulla privacy. Se la home page dice “zero log” ma la policy elenca timestamp di connessione, indirizzi IP, identificatori del dispositivo e dati di analisi, la policy è il documento che conta.
Gli utenti dovrebbero anche essere cauti quando una VPN fa promesse impossibili. Una VPN non può rendere qualcuno completamente anonimo da sola. Non può impedire ai siti Web di monitorare gli utenti che hanno effettuato l’accesso. Non può rimuovere i dati già conservati da inserzionisti, broker di dati, browser o app. Non può proteggere da ogni forma di malware, phishing, rilevamento di impronte digitali o compromissione dell’account.
Fare promesse eccessive non è solo cattivo marketing. È un segnale di fiducia.
Cosa dovrebbero controllare gli utenti prima di scegliere una VPN senza registri
Inizia con l’informativa sulla privacy. Cerca termini come “indirizzo IP”, “data e ora”, “DNS”, “larghezza di banda”, “ID dispositivo”, “analisi”, “rapporti sugli arresti anomali”, “pubblicità”, “terze parti”, “conservazione” e “forze dell’ordine”. Un fornitore serio dovrebbe rendere questi punti facili da comprendere.
Quindi controlla la cronologia degli audit. Cerca il revisore, la data, l’ambito e se il rapporto copre specificamente le affermazioni no-log. Un controllo di sicurezza di un’app è utile, ma non equivale a verificare che l’azienda non conservi l’attività dell’utente o i metadati di connessione.
Successivamente, controlla la proprietà e la trasparenza. Un provider VPN dovrebbe rivelare chiaramente l’azienda dietro il servizio, dove ha sede e come gli utenti possono contattarla. La proprietà nascosta non è una prova di illecito, ma rende più difficile la responsabilità.
Successivamente, controlla il modello di business. Abbonamenti a pagamento, piani freemium, pubblicità, strumenti in bundle e servizi aziendali creano tutti incentivi diversi. L’informativa sulla privacy dovrebbe spiegare se i dati dell’utente vengono venduti, condivisi, noleggiati, analizzati o utilizzati per pubblicità mirata.
Infine, controlla se le funzionalità di privacy sono abilitate per impostazione predefinita. Una VPN con impostazioni avanzate nascoste nell’app è meno protettiva di una che inizia con impostazioni predefinite sicure. Le funzionalità utili includono la protezione dalle perdite DNS, la protezione dalle perdite IPv6, un kill switch, protocolli moderni, aggiornamenti automatici e controlli diagnostici chiari.
Una pratica lista di controllo no-log
Una VPN no-log affidabile dovrebbe essere in grado di rispondere chiaramente a queste domande:
- Registra l’attività di navigazione, le query DNS o gli indirizzi IP di destinazione?
- Memorizza l’indirizzo IP originale dell’utente?
- Mantiene i timestamp della connessione?
- Monitora la larghezza di banda per account?
- Per quanto tempo vengono conservati i dati operativi?
- La diagnostica è facoltativa?
- Le analisi vengono condivise con terze parti?
- La politica no-log è stata verificata in modo indipendente?
- L’audit è recente e specifico?
- La proprietà dell’azienda è pubblica?
- Il fornitore pubblica rapporti sulla trasparenza?
- L’informativa sulla privacy corrisponde alle affermazioni di marketing?
Se la risposta non è chiara, quella è la risposta. Le politiche sulla privacy sono scritte dall’azienda, non dagli utenti. Quando un fornitore vuole la fiducia, dovrebbe rendere le prove facili da trovare.
Una politica VPN no-log è forte tanto quanto le sue definizioni, infrastruttura, verifica e modello di business. La frase “no logs” non dovrebbe essere accettata per oro colato. Gli utenti dovrebbero verificare quali dati vengono esclusi, quali dati vengono comunque raccolti, per quanto tempo vengono conservati, se un audit indipendente supporta la richiesta e se gli incentivi dell’azienda sono in linea con la privacy.
Le VPN possono essere strumenti utili. Possono ridurre l’esposizione su reti non affidabili, nascondere i metadati di navigazione a un provider di servizi Internet e aiutare a instradare il traffico attraverso una posizione diversa. Ma non eliminano la fiducia. Spostano la fiducia da una parte all’altra.
Ecco perché la migliore VPN no-log non è quella con lo slogan sulla privacy più forte. È quello che raccoglie meno dati, spiega chiaramente i suoi limiti, verifica regolarmente le sue affermazioni e offre agli utenti meno motivi per indovinare.
