L’anonimato in rete e le ‘vpn’ (parte 2 di 2) – Hacking.

Nella prima parte di questo articolo, oltre ad aver concluso la ‘superficie’ dell’argomento anonimato, abbiamo iniziato a trattare e discutere, l’utilizzo delle ‘vpn’ (virtual private network) quale valida e semplice alternativa per garantirci una buona fetta di anonimato in rete. In questa seconda parte, al ciò, concluderemo la disquisizione di questo argomento, cercando di indirizzare l’internauta, verso quelli che potrebbero essere dei validi client di vpn, fornendovene pro e contro, tra quelle che nel proseguo del testo saranno elencate in uno schema analitico e dettagliato. Altresì, come anticipatovi in chiusura del precedente articolo, andremo a brevemente a trattare anche la Policy dei ‘No Logs’, la legislazione internazionale conservazione dei dati, i metodi di pagamento, e le notifiche ‘DMCA’; parleremo quindi dei ‘Leak test’ su DNS, dei limiti di Clear Net, ed infine introdurremo in ultimo, il concetto di ‘Deep Web’. Iniziamo:

La Policy dei ‘No Logs’

I ‘logs’, sono dei file che si generano per ogni attività che effettuiamo su un sistema informatizzato. Nel caso specifico delle vpn, questi file possono memorizzare alcuni dei nostri dati; vedansi, il nostro indirizzo ‘ip’, e quelli relativi agli accessi. Questi dati infatti, insieme anche ad altre nostre informazioni, sono vulnerabili, perché non vengono cifrate prima del ‘tunneling’. Invero, quando acquistiamo un servizio vpn, prima di accettarne ‘Termini e Condizioni’, è bene leggere attentamente anche il documento relativo alla ‘privacy policy’. Ecco perché, come vi ho riportato precedentemente in uno dei miei scorsi articoli sull’argomento: ‘Mai affidarsi a servizi di masking (mascheramento) gratis e/o Trial’. Quando si tratta della nostra privacy e di anonimato in rete, bisogna essere sempre attenti. Per tanto, quando pensiamo di scegliere una vpn che viene garantita quale ‘logless’, non bisogna mai limitarsi a quanto riportato nei banner pubblicitari dei prodotti, ma leggerne sempre prima i documenti  legali. Il punto focale, è capire che: ‘i provider vpn, non possono rilasciare informazioni di te che non hanno’; e perciò, non possono essere incriminati per non aver collaborato – ad una richiesta da parte delle autorità giudiziarie – dando informazioni che materialmente, di fatto, disconoscono. Va da se che, normalmente, ogni provider vpn, vi chiederà delle informazioni personali all’atto della registrazione del vostro account: nome, email, dati dei pagamenti, ed indirizzo per la fatturazione; ma ultimamente, alcuni tra questi provider, hanno aggiunto alla lista dei metodi di pagamento accettati, anche quelli fatti con crypto-valute (ma di questo ne parleremo nei futuri articoli), che di fatto, sollevano entrambi le parti a trattenere i dati relativi ai pagamenti e quindi alla fatturazione – garantendo per questi acquirenti, con le dovute precausioni, un ulteriore gradino in più di anonimato.

La legislazione internazionale conservazione dei dati e metodi di pagamento

Come credo sia logico, ogni Nazione, all’interno del proprio diritto, ha delle specifiche norme, leggi e regolamenti che regolano la maggior parte delle attività economiche e ‘non’ del proprio territorio; tra cui anche quelle sulla protezione dei dati e sulla privacy.

Questa che ho riportato sopra, è la cartina del DLA piper data protection (riferita all’anno 2019). In questa mappa, sono riportati, nazione per nazione, i livelli di attuazione sulla legislazione in materia di conservazione dei dati. Come potete evincere dalla descrizione, i paesi evidenziati dal colore rosso sono quelli che trattano la materia, applicando regole più ferree, quelle in grigio invece, sono le nazioni che hanno una legislazione ‘più libertina’ e/o ‘inesistente’ o meglio, non normata specificamente. Si passa quindi dal Regno Unito dove la legislazione in materia di conservazione è molto ‘dura’, a quella di Panama (America Centrale), ove è quasi ‘inesistente’; logicamente, in questo paese, un rivenditore ‘vpn’, quasi certamente, non è tenuto a memorizzare i dati fiscali dei propri clienti. Va da se, che lo stesso concetto, vale per i metodi di pagamento accettati dalla società di ‘vpn’ che andate per affittare. Quelle che accettano solo metodi di pagamenti elettronici, o trasferimenti di denaro (vaglia, bonifici, ricariche), non possono essere definite ‘sicure’; i vostri movimenti bancari, postali, sono tracciabili e riconducibili ai vostri dati fiscali. Al contrario, (seppur ve ne ho già parlato ‘non bene’ – sulla scorta dell’uso che ne fate), le vpn free, quelle gratuite, al massimo, possono memorizzare il vostro ‘ip’ e l’eventuale account di registrazione. In tutti i casi, al fine di un alto livello di anonimato, si dovrebbero preferire quella che offrono anche i pagamenti con le ‘crypto-valute’.

Le notifiche ‘DMCA’

Il DMCA, acronimo di Digital Millennium Copyright Act, è un’insieme di leggi (americane) che tutelano la distribuzione illegale di materiale protetto da diritti d’autore. Seppure questa legge non è prettamente europea, è molto simile a quella sui diritti d’autore dell’UE, e quindi applicabile anche in Italia. Violare questo diritto, scaricando e/o condividendo in rete - file protetti da un diritto d’autore -, oltre il rischio di ricevere una multa pecuniaria (quindi, una notifica DMCA), quasi certamente, implicherà il plausibile blocco dell’account da parte del provider ‘vpn’; questo perché, la notifica DMCA, dettaglia la tipologia di file, l’ora ed il titolo di ciò che si caricava/scaricava/condivideva illegalmente dalla rete. 

Lista delle ‘VPN’

La lista che a seguito vi incollo, raccoglie alcune tra le VPN più popolari. Tra le stesse, come apprenderete nello schema analitico che segue, ce ne sono diverse che dichiarano nelle loro rispettive ‘privacy policy’ di non memorizzare o tenere traccia del Vostro indirizzo ‘ip’ durante la navigazione, attraverso l’utilizzo dei loro servizi. Lo schema a tabella, è così suddiviso:

Nome Servizio Vpn;

Stato ove ha sede legale il provider, e nel quale avviene il trattamento dei dati personali;

Logs dell’Ip ( dove il provider indica se avviene la memorizzazione del Vostro IP; ma è un informazione da prendere con le pinze. Controllate sempre, preventivamente, la legislazione vigente in quello stato);

Protocolli vpn utilizzati dal provider;

Pagamento in Crypto-V, se accettato, e sue alternative.

Nome Servizio VPN	Stato	Dati Raccolti	Logs	Protocolli	Pagamento in Crypto-V
AirVPN	Italia	Email, Password	Non specificato	OpenVPN, WireGuard	Si
AzireVPN	Svezia	Email, Password	No	OpenVPN, WireGuard	Si
BoxPN	Seychelles	Email	No	OpenVPN, PPTP	Si
ExpressVPN	Isole Vergini Britanniche	Email	No	Lightway, L2TP/IPSec, OpenVpn, IKEv2, PPTP	Si
NordVPN	Panama	Email	No	OpenVpn, IKEv2/IPSec, NordLynx	Si
Mullvad	Svezia	Nessuno	No	OpenVPN, WireGuard	No (solo contanti o voucher)
ProtonVPN	Svizzera	Email, Password	No	OpenVPN, WireGuard, L2TP/IPSec,  IKEv2/IPSec, Stealth	No
TorGuard	Usa	Email, Nome, Cognome, Indirizzo di Fatturazione	No	OpenVPN, WireGuard, OpenConnect	Si
Security Kiss	Irlanda	Nessuno	Non Specificato	WireGuard	No
VyperVPN	Svizzera	Email, Nome, Cognome, Indirizzo di Fatturazione	No	WireGuard, L2TP/IPSec,  IKEv2/IPSec, Chameleon	No
SecureVPN	Usa	Email	No	OpenVPN	No

Logicamente, prima di scegliere quale VPN affittare, informatevi, e confrontatevi a monte, tramite discussioni su forum quotati (o source come Reddit). Diffidate sempre di quei siti fittizi che recensiscono e sponsorizzano VPN a spada-tratta; la fregatura, è sempre dietro l’angolo.

DNS ‘Leak test’

Quindi, dopo aver affittato una VPN, quasi certamente, vorrete avere la certezza che la stessa, effettivamente possa consentirvi di nascondere o mascherare il Vostro indirizzo ‘ip’, risolvendo anche la cifratura dei Vostri DNS; impedendo così al Vostro ISP, di non registrare le vostre richieste ai domini che andrete a visitare, e quindi, in caso contrario, di subire quello che in termine informatico viene definito leak DNS. Innanzitutto, come vi ho scritto nel mio precedente articolo, dopo aver avuto contezza di quale sia il Vostro indirizzo ‘ip’ pubblico, avviate le operazioni di tunneling, e quindi ripetete la richiesta su myip.it; se la vostra macchina è configurata correttamente, quello che andrete a visualizzare (una volta connessi alla vpn), dovrà essere un ‘ip’ diverso dal precedente. Se però, effettuate del torreting, questa operazione, da sola, potrebbe non bastare; ma sarà necessario utilizzare dei servizi web (come ipleak.net), che offrono anche il check del ‘leak’. (Ovviamente, servirà anche un client torrent; ma sulla rete, non è difficile trovare le istruzioni per eseguire un corretto test completo, che per questione di brevità, non posso descrivere in questo articolo). Tutto questo perché, se la vostra VPN non ha di default la funzione DNS Leak Prevent, seppure avete modificato i dns del vostro isp (utilizzando per esempio quelli di google), questi, potrebbe comunque rileggere il Vostro ip, utilizzando dei proxy dns detti ‘trasparenti’. Per tanto, vi consiglio di verificare i dns che state usando, attraverso la consultazione di questi siti (browserleaks.com/dns o dnsleak.com), all’interno dei quali, potrete prendere contezza dei più sicuri. Se tra i dns riportati, non fossero presenti quelli forniti dal vostro provider vpn, o notate la presenza del vostro ISP nella lista dei ‘segnalati’, vorrà dire che siete a rischio di ‘leak’. Dovrete perciò, provvedere a modificarli nella vostra macchina.

Clearnet e Deep Web

Fino a questo momento, e nei miei precedenti articoli, abbiamo trattato (velocemente) di come poter navigare in sicurezza ed anonimato all’interno di quella che viene più comunemente, chiamata Clearnet; ossia, quella porzione di rete accessibile a tutti. Seppure, così non è; perché, come abbiamo potuto appurare, alcuni provider ISP, limitando la risoluzione di alcune pagine, rendono perciò, non pienamente navigabile anche la stessa. Nel tempo però, gli internauti più ‘appassionati’, hanno deciso di creare anche una parte della rete, che fosse raggiungibile solo se si fossero utilizzate delle particolari precauzioni; oggigiorno, quella parte di rete, viene chiamata ‘Deep Web’. Il deep web praticamente, a differenza della Clearnet (o rete di superfice), è quella parte della rete non indicizzata dal www (World Wide Web); e quindi, irraggiungibile senza l’utilizzo di specifici applicativi. Questa parte della ‘net’, che non è quella parte del web illegale (Dark web), al contrario, è semplicemente un’alternativa al surface web, dove è possibile recuperare informazioni e/o applicativi ormai non più presenti sulla Clearnet, piuttosto che acquistare eventuali exploit in anteprima, ed altro ancora. Etimologia a parte, è importante per un internauta, non sottovalutare la possibilità di navigare in un circuito alternativo all’internet comune; e per tanto, nel prossimo articolo, parleremo di Tor, i suoi usi, ed accenderemo una luce sull’argomento Dark Web ed i suoi rischi.

Dove c’è vera libertà, bisogna mettere in conto di poter trovare qualsiasi cosa. (Carola Frediani).

Buona navigazione.

Emilio FERRARA