NordVPN è sicuro? Audit, crittografia e analisi della privacy
NordVPN è sicuro? Risultati degli audit indipendenti, l'incidente del server del 2018, analisi della giurisdizione panamense, protocolli di crittografia e test del kill switch.
VPN più sicure
NordVPN è sicuro?
Sì. NordVPN utilizza la crittografia AES-256, opera sotto la giurisdizione favorevole alla privacy di Panama e ha superato molteplici audit indipendenti, tra cui una verifica completa della politica no-log da parte di Deloitte. Un singolo incidente a un server nel 2018 non ha esposto alcun dato degli utenti. NordVPN ha risposto migrando l’intera infrastruttura su server RAM-only, rafforzando significativamente la propria postura di sicurezza.
Questa pagina tratta la sicurezza in profondità. Per le prestazioni generali del servizio e i prezzi, consulta la nostra recensione di NordVPN.
L’incidente del server del 2018: cosa è successo davvero
Nel marzo 2018, una parte non autorizzata ha avuto accesso a un singolo server NordVPN in Finlandia. L’aggressore ha sfruttato uno strumento di gestione remota lasciato attivo dal provider del data center. NordVPN non ha installato questo strumento. L’ha fatto il data center, senza avvisare NordVPN.
L’aggressore ha ottenuto l’accesso al server stesso. Non ha ottenuto l’accesso alle credenziali degli utenti, all’attività di navigazione o alle informazioni sull’account. Il server non conteneva log di attività poiché la politica no-log di NordVPN non ne prevedeva l’esistenza.
NordVPN ha scoperto la violazione durante un audit interno e l’ha resa pubblica nell’ottobre 2019. Il ritardo ha suscitato critiche. L’azienda ha riconosciuto la lacuna e l’ha utilizzata come catalizzatore per cambiamenti radicali dell’infrastruttura.
Come ha risposto NordVPN
NordVPN ha rescisso immediatamente il contratto con il data center finlandese. Poi l’azienda ha avviato tre importanti iniziative:
Migrazione ai server RAM-only. NordVPN ha spostato l’intera rete su server diskless (RAM-only). Questi server non possono archiviare dati in modo persistente. Ogni riavvio cancella tutto. Anche il sequestro fisico di un server non produce nulla di utile.
Programma bug bounty. NordVPN ha stretto una partnership con HackerOne per consentire ai ricercatori di sicurezza indipendenti di analizzare continuamente i propri sistemi. I ricercatori ricevono premi per aver scoperto vulnerabilità prima degli aggressori.
Programma di audit indipendenti. NordVPN si è impegnata a svolgere regolari audit di sicurezza di terze parti. Ciò ha creato una responsabilità esterna continuativa anziché una rassicurazione una tantum.
L’incidente del 2018 ha riguardato un server su migliaia. Nessun dato degli utenti è trapelato. Tuttavia NordVPN lo ha trattato come un motivo per ricostruire la propria infrastruttura dalle fondamenta. Quella risposta conta più dell’incidente stesso.
Cronologia degli audit di NordVPN
Le affermazioni di fiducia senza verifica non significano nulla. NordVPN si è sottoposta a molteplici audit indipendenti da parte di società di sicurezza informatica rispettabili.
Audit di sicurezza delle applicazioni di VerSprite
VerSprite ha condotto una valutazione della sicurezza delle applicazioni di NordVPN. L’audit ha esaminato i client VPN alla ricerca di vulnerabilità, punti deboli nel codice e potenziali vettori di attacco. VerSprite ha riscontrato problemi tipici di software complessi. NordVPN li ha corretti. Il processo ha stabilito una base di riferimento per i test di sicurezza delle applicazioni in corso.
Valutazione dell’infrastruttura di Cure53
Cure53[1], un’azienda di sicurezza con sede a Berlino, ha condotto un audit a livello di infrastruttura. Il loro team ha esaminato le configurazioni dei server di NordVPN, l’architettura di rete e i sistemi backend. Cure53 ha identificato aree di miglioramento e confermato che l’infrastruttura principale operava in modo sicuro. NordVPN ha pubblicato i risultati pubblicamente.
Verifica della politica no-log di Deloitte (2022)
Questo audit ha il maggior peso per gli utenti attenti alla privacy. Deloitte, una delle Big Four delle società di revisione, ha condotto un esame approfondito delle affermazioni no-log di NordVPN. Deloitte ha ispezionato le configurazioni dei server, esaminato i controlli tecnici e intervistato il personale. NordVPN ha pubblicato pubblicamente i risultati dell’audit Deloitte[2].
La conclusione: l’infrastruttura server di NordVPN opera in linea con la sua politica no-log. L’azienda non memorizza timestamp di connessione, durate delle sessioni, indirizzi IP, dati di navigazione o utilizzo della larghezza di banda.
Trasparenza continuativa
NordVPN pubblica regolari rapporti sulla trasparenza[3] che descrivono nel dettaglio le richieste di dati governative. Questi rapporti mostrano costantemente lo stesso risultato: NordVPN non dispone di dati da consegnare. I rapporti coprono anche le richieste di rimozione, lo stato del warrant canary e le lettere di sicurezza nazionale.
La giurisdizione panamense protegge la privacy degli utenti
La società madre di NordVPN, Tefincom S.A., opera secondo la legge panamense. Questo è rilevante per tre ragioni concrete.
Nessuna conservazione obbligatoria dei dati. Panama non ha leggi che obblighino i provider VPN a conservare l’attività degli utenti o i dati di connessione. Molti paesi europei e nordamericani impongono periodi di conservazione da 6 a 24 mesi. Panama no.
Al di fuori delle alleanze di intelligence. Panama non fa parte degli accordi di sorveglianza Five Eyes, Nine Eyes e Fourteen Eyes. Queste alleanze condividono dati di intelligence tra le nazioni membri. Una VPN con sede negli USA, nel Regno Unito, in Canada o in Australia affronta potenziali obblighi di divulgazione. NordVPN no.
Effetto pratico sulle richieste di dati. Le agenzie straniere delle forze dell’ordine non possono obbligare un’azienda panamense a produrre documenti attraverso i propri sistemi legali. Devono operare attraverso i tribunali panamensi. Anche in quel caso, NordVPN non mantiene log da produrre. La giurisdizione aggiunge una barriera strutturale in aggiunta a quella tecnica.
Crittografia AES-256 e opzioni di protocollo
NordVPN crittografa tutto il traffico con AES-256. Questo è lo stesso standard di crittografia utilizzato dal governo statunitense per le informazioni classificate. Nessun attacco noto può violare AES-256 in tempi pratici. Le stime attuali suggeriscono che con la potenza di calcolo esistente sarebbero necessari miliardi di anni.
Protocollo NordLynx
NordLynx è il protocollo predefinito di NordVPN. Si basa su WireGuard, che offre velocità elevate grazie a un codebase snello di 4.000 righe. WireGuard da solo presenta un limite in termini di privacy: richiede la memorizzazione di indirizzi IP statici sul server.
NordVPN ha risolto questo problema con un sistema a doppio NAT (Network Address Translation). Il doppio NAT assegna un indirizzo di interfaccia dinamico a ogni sessione. Quando la sessione termina, l’indirizzo scompare. Questo offre i vantaggi di velocità di WireGuard senza il compromesso sulla privacy.
I benchmark delle prestazioni mostrano che NordLynx raggiunge velocità superiori a 730 Mbps su connessioni gigabit. La latenza rimane bassa. Il protocollo gestisce streaming, gaming e download di grandi dimensioni senza colli di bottiglia.
OpenVPN
OpenVPN rimane disponibile per gli utenti che preferiscono un protocollo collaudato. Funziona sia su TCP che su UDP. TCP garantisce affidabilità per le reti restrittive. UDP offre velocità superiori per l’uso generale. Il codebase open-source di OpenVPN è stato ampiamente verificato dalla comunità della sicurezza nel corso di due decenni.
IKEv2/IPsec
IKEv2/IPsec funziona bene sui dispositivi mobili. Si riconnette rapidamente quando si passa tra reti Wi-Fi e cellulari. NordVPN lo abbina alla crittografia AES-256. Questo protocollo è adatto agli utenti che cambiano rete frequentemente.
Il kill switch previene le fughe di dati durante le interruzioni
Le connessioni VPN possono cadere. Quando ciò accade, il traffico non protetto può raggiungere il tuo ISP. Il kill switch di NordVPN lo impedisce.
Il kill switch monitora continuamente la connessione VPN. Se il tunnel cade, blocca immediatamente tutto il traffico internet. Nessun dato lascia il dispositivo finché la VPN non si riconnette. NordVPN offre due modalità di kill switch:
Kill switch a livello di app. Questo blocca l’accesso a internet per applicazioni specifiche quando la VPN si disconnette. Le altre app continuano a funzionare normalmente.
Kill switch a livello di sistema. Questo blocca tutto il traffico internet a livello di dispositivo. Nulla passa senza la VPN. Questa è l’opzione più sicura per le attività critiche in termini di privacy.
La protezione dalle fughe DNS mantiene private le query
Le richieste DNS traducono i nomi di dominio in indirizzi IP. Senza protezione, queste richieste possono raggiungere il tuo ISP anche mentre sei connesso a una VPN. NordVPN instrada tutte le query DNS attraverso i propri server DNS crittografati.
Questo impedisce al tuo ISP di vedere quali siti web visiti. Blocca anche i provider DNS di terze parti dal registrare i tuoi schemi di navigazione. I test indipendenti per le fughe DNS confermano costantemente che la protezione di NordVPN funziona come pubblicizzato.
Threat Protection blocca malware e tracker
Threat Protection opera a livello di rete. Blocca i domini malevoli noti prima che si carichino. Rimuove i parametri di tracciamento dagli URL. Identifica e blocca i download di malware.
Threat Protection funziona anche quando non sei connesso a un server VPN. Opera come livello di sicurezza autonomo sulle piattaforme supportate. AV-TEST, un istituto di sicurezza indipendente, ha certificato le capacità di blocco del malware di Threat Protection.
La funzione analizza i file durante il download. Controlla gli URL rispetto a database di minacce costantemente aggiornati. Blocca gli annunci intrusivi che spesso fungono da vettori di distribuzione del malware.
Fonti
Domande frequenti
NordVPN è davvero sicuro da usare?
Sì. NordVPN crittografa il traffico con AES-256, opera sotto la giurisdizione panamense senza conservazione dei dati e ha superato audit indipendenti da VerSprite, Cure53 e la verifica no-log di Deloitte del 2022. Il suo unico incidente di sicurezza, una violazione di un singolo server in Finlandia nel 2018, non ha esposto alcuna credenziale utente o dato di navigazione poiché non esistevano log da rubare.
Cosa è successo esattamente nella violazione di NordVPN del 2018 e dovrebbe preoccuparti adesso?
Un aggressore ha sfruttato uno strumento di gestione remota che il data center finlandese ha lasciato attivo senza conoscenza di NordVPN, ottenendo accesso a un server su migliaia senza credenziali utente, log di navigazione o dati dell’account. NordVPN lo ha rivelato nell’ottobre 2019, quindi ha migrato l’intera rete su server RAM-only, ha aggiunto un bug bounty HackerOne e si è impegnata per audit ricorrenti di terze parti.
Quali aziende indipendenti hanno controllato le affermazioni di sicurezza e no-log di NordVPN?
Tre aziende finora. VerSprite ha valutato le applicazioni di NordVPN per vulnerabilità nel codice e vettori di attacco, Cure53 ha controllato le configurazioni dei server e l’infrastruttura backend, e Deloitte ha condotto una verifica no-log completa del 2022 confermando che NordVPN non memorizza timestamp di connessione, indirizzi IP, durate delle sessioni o dati sulla larghezza di banda. Tutti i risultati sono pubblicati pubblicamente sul sito di NordVPN.
Perché NordVPN opera da Panama e cosa protegge effettivamente quella giurisdizione?
La società madre di NordVPN, Tefincom S.A., ha sede a Panama specificamente perché il paese non ha leggi obbligatorie di conservazione dei dati e si trova al di fuori delle alleanze di condivisione dell’intelligence Five Eyes, Nine Eyes e Fourteen Eyes. Le forze dell’ordine estere devono presentare ricorso ai tribunali panamensi per obbligare i record, e anche allora NordVPN non mantiene log da consegnare, secondo la sua politica no-log verificata da Deloitte.
Quale crittografia utilizza NordVPN e può essere realisticamente violata?
NordVPN utilizza AES-256, lo stesso standard che il governo statunitense applica alle informazioni classificate, su tutti i suoi protocolli. Nessun metodo noto può violare AES-256 in un lasso di tempo pratico. Le stime attuali collocano un tentativo di forza bruta a miliardi di anni anche con la potenza di calcolo moderna, rendendo la crittografia stessa praticamente inviolabile con la tecnologia odierna.
Cos’è NordLynx e come risolve il principale difetto di privacy di WireGuard?
NordLynx è il protocollo predefinito di NordVPN, costruito sul codebase snello di WireGuard per la velocità ma modificato per risolvere la debolezza principale di WireGuard: la necessità di memorizzare un indirizzo IP statico per utente sul server. Il sistema doppio NAT di NordVPN assegna a ogni sessione un indirizzo temporaneo che scompare alla disconnessione, fornendo le prestazioni di WireGuard senza lasciare un identificativo persistente dietro.
Come impedisce effettivamente il kill switch di NordVPN alle fughe di dati quando una connessione cade?
Il kill switch di NordVPN monitora continuamente il tunnel VPN e blocca tutto il traffico internet all’istante in cui cade, quindi nulla lascia il dispositivo senza protezione fino al ripristino della connessione. Offre una modalità a livello di app che blocca solo le applicazioni scelte e una modalità a livello di sistema che blocca tutto il traffico del dispositivo, l’opzione più ristretta per sessioni critiche in termini di privacy come la gestione dei dati finanziari.
NordVPN protegge dalle fughe DNS che potrebbero esporre la mia navigazione al mio ISP?
Sì. NordVPN instrada tutte le query DNS attraverso i suoi server DNS crittografati anziché il resolver predefinito del tuo ISP, impedendo al tuo provider o ai servizi DNS di terze parti di registrare quali siti visiti. I test indipendenti delle fughe DNS referenziati nella documentazione sulla sicurezza di NordVPN confermano che questa protezione funziona come pubblicizzato, senza fughe rilevate durante i test.
Cosa blocca la Threat Protection di NordVPN e funziona senza la VPN connessa?
Threat Protection blocca domini malevoli noti prima che si carichino, rimuove i parametri di tracciamento dagli URL e analizza i file scaricati per il malware, il tutto a livello di rete. Funziona come livello di sicurezza autonomo anche quando non sei connesso a un server VPN. AV-TEST, un istituto di sicurezza indipendente, ha certificato la sua capacità di blocco del malware.
Come si confronta la sicurezza di NordVPN con ExpressVPN e ProtonVPN a un prezzo simile?
Tutti e tre partono da un prezzo simile (NordVPN e ExpressVPN da $3,49/mese, ProtonVPN da $2,49/mese) e offrono garanzie di rimborso di 30 giorni, ma la profondità degli audit differisce. La verifica no-log di Deloitte di NordVPN e l’audit infrastruttura di Cure53 si affiancano agli audit PwC e Cure53 di ExpressVPN e all’audit Securitum di ProtonVPN sotto giurisdizione svizzera. NordVPN si classifica #1 su 22 nel nostro Speed Lab, aggregato da laboratori indipendenti; ExpressVPN si classifica #8, ProtonVPN si classifica #12.
C’è un modo per testare le affermazioni di sicurezza di NordVPN senza rischi prima di impegnarsi?
Sì. NordVPN supporta ogni piano con una garanzia di rimborso di 30 giorni, offrendoti un mese intero per testare il kill switch, la protezione dalle fughe DNS e Threat Protection da solo prima di decidere. Se le funzioni di sicurezza di NordVPN non reggono al tuo stesso scrutinio entro quella finestra, puoi richiedere un rimborso senza alcun impegno a lungo termine.
Proteggere più dispositivi con un singolo account NordVPN indebolisce le sue protezioni della privacy?
No. Un singolo account NordVPN copre 10 connessioni di dispositivi simultanei e ogni connessione esegue la stessa crittografia AES-256, kill switch e protezione dalle fughe DNS indipendentemente. L’aggiunta di dispositivi non indebolisce la sicurezza poiché la politica no-log di NordVPN, verificata da Deloitte nel 2022, si applica uniformemente su ogni dispositivo connesso piuttosto che scalare il rischio con il numero di dispositivi.
Come posso confermare che il kill switch di NordVPN mi sta effettivamente proteggendo prima di affidarmi ad esso?
Connettiti a un server NordVPN, quindi disconnetti bruscamente il tuo Wi-Fi o stacca ethernet a metà sessione per forzare una caduta. Un kill switch funzionante taglia istantaneamente tutto il traffico internet anziché ricadere sulla tua connessione senza protezione. Il kill switch a livello di sistema di NordVPN blocca tutto il traffico del dispositivo, mentre la versione a livello di app limita solo le app scelte, quindi prova la modalità che intendi usare.
Cosa dovresti fare se sei preoccupato per una ripetizione dell’incidente del server di NordVPN del tipo 2018?
È necessaria poca azione da parte tua poiché la risposta di NordVPN ha affrontato le cause profonde: ha migrato l’intera rete su server RAM-only che cancellano i dati a ogni riavvio, ha aggiunto un bug bounty HackerOne per test di vulnerabilità continui e si è impegnata per audit ricorrenti di terze parti. Se sei preoccupato, controlla i rapporti sulla trasparenza pubblicati di NordVPN, che mostrano nessun dato disponibile da consegnare.