Circa un quarto degli utenti di Internet utilizza una rete privata virtuale, una configurazione software che crea un sicuro, connessione dati crittografata tra il proprio computer e un altro altrove su Internet. Molte persone li usano per proteggere la propria privacy quando utilizzano hotspot Wi-Fi, o per connettersi in modo sicuro alle reti del posto di lavoro durante i viaggi. Altri utenti sono preoccupati per la sorveglianza da parte di governi e provider Internet.

Molte aziende VPN promettono di utilizzare una crittografia avanzata per proteggere i dati, e affermano di proteggere la privacy degli utenti non archiviando i record di dove le persone accedono al servizio o cosa fanno durante la connessione. Se tutto ha funzionato come avrebbe dovuto, qualcuno che curiosa nel computer della persona non vedrebbe tutta la sua attività su Internet, ma solo una connessione incomprensibile a quel computer. Qualsiasi società, i governi o gli hacker che spiano il traffico Internet complessivo potrebbero ancora individuare un computer che trasmette informazioni sensibili o naviga su Facebook in ufficio, ma penserebbero che l'attività si sta svolgendo su un computer diverso da quello che la persona sta realmente utilizzando.

Però, la maggior parte delle persone, inclusi i clienti VPN, non ha le competenze per ricontrollare che stanno ottenendo ciò per cui hanno pagato. Un gruppo di ricercatori di cui facevo parte ha quelle capacità, e il nostro esame dei servizi forniti da 200 società VPN ha rilevato che molti di loro ingannano i clienti sugli aspetti chiave della protezione degli utenti.

I consumatori sono all'oscuro

La nostra ricerca ha rilevato che è molto difficile per i clienti VPN ottenere informazioni imparziali. Molti provider VPN pagano siti di recensioni e blog di terze parti per promuovere i loro servizi scrivendo recensioni positive e classificandole in alto nei sondaggi di settore. Si tratta di annunci pubblicitari rivolti a persone che stanno valutando l'acquisto di servizi VPN, piuttosto che recensioni indipendenti e imparziali. Abbiamo studiato 26 siti web di recensioni; 24 di loro ricevevano una qualche forma di pagamento di una tangente per le recensioni positive.

Un tipico esempio è stato un sito che elenca centinaia di società VPN che hanno valutato oltre il 90% di loro come 4 su 5 o superiore. Questo non è illegale, ma distorce valutazioni che potrebbero essere indipendenti. Inoltre, rende la concorrenza molto più difficile per i provider VPN più nuovi e più piccoli che possono avere un servizio migliore ma budget inferiori per pagare una buona pubblicità.

Vago sulla privacy dei dati

Abbiamo anche appreso che le aziende VPN non sempre fanno molto per proteggere i dati degli utenti, nonostante la pubblicità che fanno. Delle 200 aziende che abbiamo esaminato, 50 non avevano alcuna politica sulla privacy pubblicata online, nonostante le leggi che richiedessero loro di farlo.

Le aziende che hanno pubblicato politiche sulla privacy variano ampiamente nelle loro descrizioni di come gestiscono i dati degli utenti. Alcune politiche erano brevi come 75 parole, molto lontano dallo standard dei documenti legali multipagina sui siti bancari e di social media. Altri non hanno confermato formalmente ciò che suggerivano i loro annunci, lasciare spazio per spiare gli utenti anche dopo aver promesso di non farlo.

Perdita o monitoraggio del traffico

Gran parte della sicurezza di una VPN dipende dall'assicurare che tutto il traffico Internet dell'utente passi attraverso una connessione crittografata tra il computer dell'utente e il server VPN. Ma il software è scritto da umani, e gli umani commettono errori. Quando abbiamo testato 61 sistemi VPN, abbiamo riscontrato errori di programmazione e configurazione in 13 di essi che hanno consentito al traffico Internet di viaggiare al di fuori della connessione crittografata, vanificando lo scopo dell'utilizzo di una VPN e lasciando l'attività online dell'utente esposta a spie e osservatori esterni.

Anche, perché le aziende VPN possono, se scelgono, monitorare tutte le attività online in cui i loro utenti si impegnano, abbiamo controllato per vedere se qualcuno lo stava facendo. Abbiamo scoperto che sei dei 200 servizi VPN che abbiamo studiato monitoravano effettivamente il traffico degli utenti. Questo è diverso da perdite accidentali, perché implica l'osservazione attiva dell'attività degli utenti e possibilmente la conservazione dei dati su ciò che gli utenti stanno facendo.

Incoraggiato da annunci che si concentrano sulla privacy, gli utenti si fidano di queste aziende per non farlo, e non condividere ciò che trovano con i broker di dati, società pubblicitarie e polizia o altre agenzie governative. Eppure queste sei società VPN non si impegnano legalmente a proteggere gli utenti, indipendentemente dalle loro promesse.

Mentire sulle posizioni

Un enorme punto di forza per molte VPN è che affermano di consentire ai clienti di connettersi a Internet come se si trovassero in paesi diversi da dove si trovano realmente. Alcuni utenti lo fanno per evitare restrizioni sul copyright, illegalmente o quasi legalmente, come guardare gli spettacoli di Netflix negli Stati Uniti mentre sei in vacanza in Europa. Altri lo fanno per evitare la censura o altre norme nazionali che disciplinano le attività su Internet.

Abbiamo trovato, anche se, che quelle affermazioni di presenza internazionale non sono sempre vere. I nostri sospetti sono stati sollevati per la prima volta quando abbiamo visto le VPN che affermavano di consentire alle persone di utilizzare Internet come se fossero in Iran, Corea del Nord e territori insulari minori come Barbados, Bermuda e Capo Verde:luoghi in cui è molto difficile accedere a Internet, se non impossibile per le aziende straniere.

Quando abbiamo indagato, abbiamo scoperto che alcune VPN che affermano di avere un gran numero di connessioni Internet diverse hanno in realtà solo pochi server raggruppati in un paio di paesi. Il nostro studio ha scoperto che manipolano i record di routing di Internet in modo che sembrino fornire servizi in altre località. Abbiamo trovato almeno sei servizi VPN che affermano di instradare il loro traffico attraverso un paese ma lo trasmettono in realtà attraverso un altro. A seconda dell'attività dell'utente e delle leggi del paese, questo potrebbe essere illegale o addirittura pericoloso per la vita, ma per lo meno è fuorviante.

Linee guida per gli utenti VPN

I clienti con una mentalità tecnica che sono ancora interessati alle VPN potrebbero prendere in considerazione la possibilità di configurare i propri server, utilizzando i servizi di cloud computing o la connessione Internet domestica. Le persone con un po' meno di comfort tecnico potrebbero prendere in considerazione l'utilizzo del browser Tor, una rete di computer connessi a Internet che aiutano a proteggere la privacy degli utenti.

Questi metodi sono difficili e possono essere lenti. Quando si seleziona un servizio VPN commerciale, il nostro miglior consiglio, informato dalla nostra ricerca, è leggere attentamente l'informativa sulla privacy del sito, e acquista abbonamenti brevi, forse mese per mese, piuttosto che quelli più lunghi, quindi è più facile cambiare se trovi qualcosa di meglio.

Questo articolo è stato ripubblicato da The Conversation con una licenza Creative Commons. Leggi l'articolo originale.