Mullvad è sicuro? Analisi di sicurezza, privacy e audit
Mullvad è sicuro? Risultati degli audit indipendenti, protocolli di crittografia, analisi della giurisdizione, test del kill switch e verifica della politica no-log.
VPN più sicuri
Mullvad è sicuro? Una valutazione diretta
Mullvad ottiene 86/100 nel nostro indice di fiducia. Opera sotto la giurisdizione svedese, applica una tariffa fissa di €5/mese senza account, e garantisce una politica no-log verificata. Audit indipendenti condotti da Cure53 e Assured AB hanno confermato vulnerabilità minime. Mullvad non conserva alcun log di connessione, dato sul traffico o informazione personalmente identificabile sui suoi 700+ server in oltre 50 paesi.
Giurisdizione svedese e richieste legali di dati
La Svezia fa parte dell’alleanza di condivisione di intelligence dei 14 Eyes. A prima vista, ciò può sembrare preoccupante. In pratica, il quadro giuridico racconta una storia più sfumata per i provider VPN.
La legge svedese non obbliga le aziende VPN a conservare i dati degli utenti. Mullvad non ha alcun obbligo obbligatorio di conservazione dei dati ai sensi delle attuali normative svedesi sulle telecomunicazioni. Ciò significa che le autorità possono emettere richieste, ma Mullvad non ha nulla di memorizzato da consegnare.
Nell’aprile 2023, la polizia svedese ha fatto irruzione fisicamente nell’ufficio di Mullvad a Göteborg con un mandato di perquisizione. Gli agenti intendevano sequestrare computer contenenti dati dei clienti. Il personale di Mullvad ha spiegato che nessun dato dei clienti esisteva su nessuna macchina, e la polizia se ne è andata a mani vuote. Quel test nel mondo reale ha dimostrato che la politica no-log regge anche sotto pressione legale.
Storia degli audit indipendenti
Mullvad ha completato più audit di sicurezza condotti da terze parti. Ogni audit ha esaminato parti diverse dell’infrastruttura e delle applicazioni client.
Audit Cure53 (2020)
Cure53, una società di penetration testing con sede a Berlino, ha condotto un audit delle app VPN di Mullvad nel 2020. Il team ha identificato 7 vulnerabilità in totale: 2 valutate con gravità media, 5 con gravità bassa. Mullvad ha corretto tutti i 7 problemi prima di pubblicare il rapporto completo dell’audit pubblicamente sul suo sito web.
Audit Assured AB (2023)
Assured AB ha condotto un audit dell’infrastruttura dei server e dei sistemi interni di Mullvad nel 2023. La valutazione ha riguardato le configurazioni dei server, l’implementazione della crittografia e le procedure di gestione dei dati. I risultati hanno confermato che l’infrastruttura di Mullvad corrispondeva alle sue dichiarazioni pubbliche di no-log. Nessuna vulnerabilità critica è stata scoperta durante questo incarico.
Audit app Cure53 (2023)
Cure53 è tornata per un secondo ciclo nel 2023, concentrandosi sul codice aggiornato delle app. Questo follow-up ha trovato meno problemi rispetto all’audit del 2020. Mullvad ha affrontato tutte le scoperte e ha nuovamente rilasciato il rapporto completo per la revisione pubblica.
La pubblicazione di rapporti di audit completi è insolita nel settore VPN. Mullvad non oscura i risultati né seleziona solo quelli favorevoli. Questa trasparenza aggiunge un peso significativo alle sue dichiarazioni di sicurezza.
Politica di logging: cosa conserva e cosa non conserva Mullvad
Dati che Mullvad non raccoglie
Mullvad non registra dati sul traffico, timestamp di connessione, durata delle sessioni o indirizzi IP. Non conserva query DNS, record di utilizzo della larghezza di banda o assegnazioni di server VPN. L’attività dell’account rimane completamente scollegata dal comportamento di navigazione o dai metadati di connessione.
Dati che Mullvad elabora
Mullvad elabora il numero totale di connessioni simultanee per account (limitato a 5). Questo contatore esiste in tempo reale e non viene scritto in nessuna memoria persistente. Nel momento in cui ci si disconnette, il contatore si decrementa. Non persiste alcuna registrazione storica.
Mullvad elabora anche dati aggregati a breve termine sul carico dei server per l’ottimizzazione delle prestazioni. Questi dati non contengono alcuna informazione identificabile dall’utente e ruotano automaticamente.
Il sistema degli account
Mullvad genera un numero di account casuale a 16 cifre. Non è richiesta email, nome o password. Si può pagare con contanti inviati in una busta, Bitcoin o Monero. Questo design elimina completamente le informazioni personalmente identificabili dal processo di registrazione.
Standard di crittografia e protocolli
Mullvad supporta due protocolli: WireGuard e OpenVPN. Entrambe le implementazioni utilizzano standard crittografici robusti e ben esaminati.
Implementazione WireGuard
WireGuard utilizza ChaCha20 per la crittografia simmetrica, Curve25519 per lo scambio di chiavi e BLAKE2s per l’hashing. Mullvad utilizza WireGuard come impostazione predefinita su tutte le piattaforme. Gli handshake di connessione si completano in meno di 100 millisecondi sulla maggior parte delle reti.
Implementazione OpenVPN
Le connessioni OpenVPN utilizzano AES-256-GCM per la crittografia del canale dati. Lo scambio di chiavi si basa su certificati RSA-4096 con autenticazione SHA-512. Mullvad configura OpenVPN con tls-auth per prevenire il fingerprinting e gli attacchi DDoS al tunnel VPN.
Tunnel resistenti al quantum computing
Mullvad ha aggiunto lo scambio di chiavi post-quantum ai tunnel WireGuard nel 2023. Questa funzionalità sovrappone la key encapsulation di Classic McEliece e Kyber alla crittografia WireGuard standard. Mullvad è stato il primo VPN commerciale a distribuire questa funzionalità su tutte le piattaforme desktop.
Kill switch e protezione dai DNS leak
Comportamento del kill switch
Il kill switch di Mullvad si attiva per impostazione predefinita su tutte le piattaforme. Blocca tutto il traffico internet quando il tunnel VPN cade inaspettatamente. L’implementazione opera a livello di firewall, non a livello applicativo. Questo previene le fughe anche se l’app Mullvad si blocca completamente.
Su Linux, Mullvad utilizza regole nftables per imporre il blocco del traffico. Su Windows, modifica la Windows Filtering Platform. Su macOS, utilizza regole di packet filter. Ogni implementazione previene simultaneamente le fughe sia IPv4 che IPv6.
Protezione dai DNS leak
Mullvad instrada tutte le query DNS attraverso i propri server DNS crittografati. L’app blocca le richieste DNS di sistema che tentano di bypassare il tunnel. Mullvad gestisce server DNS in ogni posizione del server VPN, risolvendo le query localmente senza inoltrarle a terze parti.
Gli utenti possono anche configurare DNS personalizzati all’interno dell’app. Anche con DNS personalizzato, le query viaggiano comunque all’interno del tunnel crittografato. I test di leak indipendenti mostrano costantemente zero fughe DNS, WebRTC o IPv6 su tutti i client Mullvad.
Incidenti di sicurezza passati
Irruzione della polizia (aprile 2023)
Sei agenti della Polizia Nazionale Svedese sono entrati nell’ufficio di Mullvad a Göteborg. Disponevano di un mandato di perquisizione del tribunale distrettuale in cerca di informazioni sui clienti. Il CEO di Mullvad ha spiegato che l’azienda non conserva dati sui clienti. La polizia non ha sequestrato nessuna apparecchiatura ed è andata via dopo che il team legale di Mullvad ha contestato l’applicabilità del mandato.
Nessuna violazione dei dati nota
Fino all’ultimo ciclo di audit, Mullvad non ha segnalato alcuna violazione dei dati. Nessun dato utente è apparso in database trapelati. Nessun attacco di credential stuffing è applicabile perché Mullvad non utilizza password o indirizzi email. Il sistema di numero account a 16 cifre riduce sostanzialmente la superficie di attacco.
Divulgazioni di vulnerabilità
Mullvad mantiene un approccio attivo al bug bounty e pubblica avvisi di sicurezza sul suo blog. Tutte le vulnerabilità trovate durante gli audit hanno ricevuto patch entro settimane dalla scoperta. L’azienda non ha subito alcuno sfruttamento zero-day della sua infrastruttura di produzione.
Funzionalità di sicurezza uniche
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad ha sviluppato DAITA per contrastare gli attacchi di analisi del traffico. Questa funzionalità imbottisce i pacchetti a dimensioni uniformi e inietta pattern di traffico fittizi. Impedisce agli avversari di identificare quali siti web visitano gli utenti basandosi sulle impronte del traffico.
DNS cifrato Over HTTPS (DoH)
Mullvad offre un servizio DoH pubblico su dns.mullvad.net. Gli utenti possono crittografare le query DNS anche senza VPN attiva. Il servizio include profili DNS opzionali per il blocco di annunci e tracker.
Server diskless solo RAM
Mullvad gestisce l’intera flotta di server in modalità solo RAM. Nei server non esistono hard disk. Ogni riavvio cancella completamente tutti i dati. Questa architettura garantisce che i sequestri fisici dei server non producano informazioni utilizzabili.
Routing multihop
Gli utenti possono instradare il traffico attraverso 2 server VPN separati in paesi diversi. Questo aggiunge un secondo livello di crittografia e separa il punto di ingresso dal punto di uscita. Il multihop è configurabile direttamente all’interno dell’app senza configurazione manuale.
Considerazioni finali sulla sicurezza di Mullvad
Mullvad guadagna il suo punteggio di fiducia di 86/100 attraverso l’architettura, non le promesse. Server solo RAM, anonimato degli account, rapporti di audit pubblicati e un esito verificato di un’irruzione della polizia lo distinguono dalla concorrenza. La tariffa fissa di €5/mese senza prove o sconti riflette un’azienda focalizzata sul servizio piuttosto che sul volume di abbonati. Per gli utenti che privilegiano la verifica della privacy rispetto al numero di funzionalità, Mullvad rimane una delle opzioni più solide disponibili sui suoi 700+ server in oltre 50 paesi.
Domande frequenti
Mullvad è davvero sicuro da usare?
Sì. Mullvad ottiene 86/100 nel nostro indice di fiducia, supportato da una politica no-log verificata, server solo RAM che si cancellano a ogni riavvio, e due cicli di audit indipendente. Cure53 ha esaminato le app nel 2020 e di nuovo nel 2023, mentre Assured AB ha auditato l’infrastruttura nel 2023. Entrambi gli incarichi non hanno riscontrato problemi critici e Mullvad ha pubblicato i rapporti completi pubblicamente.
La giurisdizione svedese di Mullvad espone i dati degli utenti dato che la Svezia fa parte dei 14 Eyes?
Non in pratica. La legge svedese non impone alcun obbligo obbligatorio di conservazione dei dati ai provider VPN, quindi Mullvad non ha nulla da consegnare anche se le autorità lo richiedono. Questo è stato confermato nell’aprile 2023 quando la polizia svedese è entrata nell’ufficio di Mullvad a Göteborg con un mandato di perquisizione in cerca di dati sui clienti e se ne è andata a mani vuote, poiché tali dati non esistevano.
Cosa è accaduto durante l’irruzione della polizia svedese nel 2023 a Mullvad?
Sei agenti della Polizia Nazionale Svedese sono entrati nell’ufficio di Mullvad a Göteborg nell’aprile 2023 con un mandato del tribunale distrettuale in cerca di informazioni sui clienti. Il CEO di Mullvad ha spiegato che l’azienda non conserva dati sui clienti per design. La polizia se ne è andata senza sequestrare apparecchiature o dati, un test nel mondo reale della dichiarazione no-log sotto pressione legale diretta.
Cosa hanno trovato gli audit di Cure53 nel 2020 e 2023 su Mullvad?
L’audit di Cure53 nel 2020 delle app Mullvad ha identificato 7 vulnerabilità: 2 di gravità media e 5 di gravità bassa, tutte corrette prima della pubblicazione del rapporto. Cure53 è tornata nel 2023 per auditare il codice delle app aggiornato e ha trovato meno problemi rispetto al primo ciclo. Mullvad ha affrontato ogni scoperta e ha pubblicato entrambi i rapporti completi senza redazioni.
Cosa ha coperto l’audit di Assured AB del 2023?
Assured AB ha auditato l’infrastruttura dei server di Mullvad e i sistemi interni nel 2023, esaminando le configurazioni dei server, l’implementazione della crittografia e le procedure di gestione dei dati. La valutazione ha confermato che l’infrastruttura di Mullvad corrispondeva alle sue dichiarazioni pubbliche no-log, senza vulnerabilità critiche scoperte. Combinato con due audit delle app di Cure53, Mullvad ha ora sia le sue app che l’infrastruttura backend verificate indipendentemente.
Come funziona effettivamente il sistema di account anonimo di Mullvad?
Mullvad genera un numero di account casuale a 16 cifre invece di richiedere email, nome o password. Puoi pagare con carta, Bitcoin, Monero o contanti inviati in una busta. Questo design elimina completamente le informazioni personalmente identificabili dalla registrazione, il che è parte del motivo per cui la sua politica no-log ha resistito durante l’irruzione della polizia nel 2023 all’ufficio di Göteborg.
Quale crittografia utilizza Mullvad e è resistente ai computer quantistici?
Mullvad utilizza per impostazione predefinita WireGuard, con ChaCha20 per la crittografia, Curve25519 per lo scambio di chiavi e BLAKE2s per l’hashing. La sua opzione OpenVPN utilizza AES-256-GCM con certificati RSA-4096. Nel 2023, Mullvad ha aggiunto lo scambio di chiavi post-quantum con sovrapposizione di Classic McEliece e Kyber sulla crittografia WireGuard standard, rendendolo il primo VPN commerciale a distribuire questa funzionalità su tutte le piattaforme desktop.
Quali informazioni raccoglie effettivamente Mullvad sul mio account?
Molto poche. Mullvad traccia solo il numero di connessioni simultanee in tempo reale, limitato a 5, che si decrementa a zero nel momento in cui ci si disconnette e non viene mai scritto su memoria persistente. Elabora anche dati aggregati a breve termine sul carico dei server senza informazioni identificabili dall’utente. Il traffico, i timestamp, le query DNS e gli indirizzi IP non vengono mai registrati.
Il kill switch di Mullvad blocca in modo affidabile le fughe se la connessione cade?
Sì. Il kill switch di Mullvad funziona a livello di firewall piuttosto che a livello di applicazione, quindi continua a bloccare il traffico anche se l’app stessa si blocca. Utilizza regole nftables su Linux, la Windows Filtering Platform su Windows e regole di packet filter su macOS, prevenendo fughe sia IPv4 che IPv6 su tutte le implementazioni.
Mullvad offre una prova gratuita o un rimborso se non sono soddisfatto?
No, Mullvad funziona con pagamento a consumo senza periodo di prova gratuita. Invece di una finestra di rimborso standard, i giorni inutilizzati sul saldo del tuo account sono rimborsabili se decidi di smettere. Questo differisce da ProtonVPN e NordVPN, che entrambi supportano i piani a pagamento con una garanzia di rimborso di 30 giorni invece di un modello di rimborso proporzionato.
Quanti dispositivi posso eseguire su un account Mullvad?
Un singolo account Mullvad copre 5 connessioni simultanee, meno dei 10 di NordVPN e entro l’intervallo 1-10 che ProtonVPN offre a seconda del livello del piano. Mullvad non ha alcun requisito di account per dispositivo poiché la registrazione utilizza solo un numero a 16 cifre, quindi i dispositivi si connettono in modo indipendente senza collegamento all’identità personale.
Come si confronta il prezzo fisso di Mullvad con ProtonVPN e NordVPN?
Mullvad addebita una singola tariffa fissa da $5,50/mese senza livelli di sconto a lungo termine, a differenza di ProtonVPN (da $2,49/mese sul suo piano più lungo) e NordVPN (da $3,49/mese). Sulle prestazioni, Mullvad si classifica #7 su 22 nel nostro Speed Lab, dietro NordVPN al #1 ma davanti a ProtonVPN al #12.
Posso accedere a Netflix o Disney+ in modo affidabile tramite Mullvad?
In modo incoerente. Mullvad non sviluppa tecnologia dedicata per superare i geo-blocchi dello streaming, quindi le principali piattaforme come Netflix, Disney+ e Prime Video spesso sono bloccate direttamente. Supporta BBC iPlayer, 9Now e Channel 4, con risultati che variano per server. Se l’accesso affidabile alle piattaforme principali è importante, un provider con infrastruttura dedicata allo streaming è una scelta migliore.
Cosa fare se Mullvad viene bloccato su una rete restrittiva o con firewall?
Passa alle impostazioni di offuscamento e QUIC di Mullvad, costruite specificamente per nascondere il traffico VPN e superare il blocco a livello di rete. Il routing multihop, che instrada il traffico attraverso due server separati in paesi diversi, può anche aiutare se un singolo punto di uscita viene filtrato. Testa queste impostazioni prima di fare affidamento sulla connessione in un ambiente restrittivo.