NordVPN è sicuro? Audit, crittografia e analisi della privacy

NordVPN è sicuro?

Sì. NordVPN utilizza la crittografia AES-256, opera secondo la giurisdizione panamense favorevole alla privacy, e ha sottoposto le sue app e i server a revisione da parte di Cure53, e dichiara che la sua politica no-logs è stata sottoposta a audit da Deloitte, sebbene nessun rapporto di audit sia pubblicamente leggibile. Un singolo incidente server nel 2018 ha esposto zero dati utente. NordVPN ha risposto migrando l’intera infrastruttura verso server RAM-only, rafforzando significativamente la sua postura di sicurezza.

Questa pagina tratta la sicurezza in profondità. Per le prestazioni generali del servizio e i prezzi, consulta la nostra recensione di NordVPN.

L’incidente del server del 2018: cosa è successo davvero

Nel marzo 2018, una parte non autorizzata ha avuto accesso a un singolo server NordVPN in Finlandia. L’aggressore ha sfruttato uno strumento di gestione remota lasciato attivo dal provider del data center. NordVPN non ha installato questo strumento. L’ha fatto il data center, senza avvisare NordVPN.

L’aggressore ha ottenuto l’accesso al server stesso. Non ha ottenuto l’accesso alle credenziali degli utenti, all’attività di navigazione o alle informazioni sull’account. Il server non conteneva log di attività poiché la politica no-log di NordVPN non ne prevedeva l’esistenza.

NordVPN ha scoperto la violazione durante un audit interno e l’ha resa pubblica nell’ottobre 2019. Il ritardo ha suscitato critiche. L’azienda ha riconosciuto la lacuna e l’ha utilizzata come catalizzatore per cambiamenti radicali dell’infrastruttura.

Come ha risposto NordVPN

NordVPN ha rescisso immediatamente il contratto con il data center finlandese. Poi l’azienda ha avviato tre importanti iniziative:

Migrazione ai server RAM-only. NordVPN ha spostato l’intera rete su server diskless (RAM-only). Questi server non possono archiviare dati in modo persistente. Ogni riavvio cancella tutto. Anche il sequestro fisico di un server non produce nulla di utile.

Programma bug bounty. NordVPN ha stretto una partnership con HackerOne per consentire ai ricercatori di sicurezza indipendenti di analizzare continuamente i propri sistemi. I ricercatori ricevono premi per aver scoperto vulnerabilità prima degli aggressori.

Programma di audit indipendenti. NordVPN afferma di essersi impegnata a effettuare regolari audit di sicurezza da parte di terze parti. Questo ha creato una responsabilità esterna continua piuttosto che una semplice rassicurazione una tantum.

L’incidente del 2018 ha riguardato un server su migliaia. Nessun dato degli utenti è trapelato. Tuttavia NordVPN lo ha trattato come un motivo per ricostruire la propria infrastruttura dalle fondamenta. Quella risposta conta più dell’incidente stesso.

Cronologia degli audit di NordVPN

Le affermazioni sulla fiducia senza verifica non significano nulla. NordVPN ha pubblicato valutazioni di sicurezza di Cure53 e dichiara di aver commissionato impegni di assicurazione sulla politica no-logs.

Valutazioni di Sicurezza Cure53

Cure53[1], un’azienda di sicurezza con sede a Berlino, ha esaminato NordVPN più volte. La sua revisione di luglio-agosto 2022 delle app desktop e mobile e dei componenti aggiuntivi (rapporto datato 22 febbraio 2023) ha rilevato 22 risultati, 6 dei quali vulnerabilità, inclusa 1 critica (un’escalation dei privilegi root di Linux). La sua revisione di settembre-ottobre 2022 dei server e dell’infrastruttura (rapporto datato 5 febbraio 2023) ha rilevato 11 risultati e 1 vulnerabilità, e ha concluso che i server mostrano una base di sicurezza relativamente stabile. La sua revisione di metà 2024 delle app, estensioni del browser e funzionalità (rapporto datato 17 dicembre 2024) ha rilevato 31 problemi, 22 dei quali vulnerabilità e 4 di livello alto, senza risultati critici.

Coinvolgimenti di verifica della politica no-logs di NordVPN

NordVPN afferma di aver commissionato coinvolgimenti di verifica della politica no-logs a PwC (2018 e 2020) e a Deloitte (2022-2025). Questi sono commissionati da NordVPN e non abbiamo trovato un rapporto di revisione pubblicamente leggibile, quindi considerali come resoconto dello stesso NordVPN. NordVPN li descrive nella sua pagina di audit no-logs[2].

La conclusione: l’infrastruttura server di NordVPN opera in linea con la sua politica no-log. L’azienda non memorizza timestamp di connessione, durate delle sessioni, indirizzi IP, dati di navigazione o utilizzo della larghezza di banda.

Trasparenza continuativa

NordVPN pubblica regolari rapporti sulla trasparenza[3] che descrivono nel dettaglio le richieste di dati governative. Questi rapporti mostrano costantemente lo stesso risultato: NordVPN non dispone di dati da consegnare. I rapporti coprono anche le richieste di rimozione, lo stato del warrant canary e le lettere di sicurezza nazionale.

La giurisdizione panamense protegge la privacy degli utenti

La società madre di NordVPN, Tefincom S.A., opera secondo la legge panamense. Questo è rilevante per tre ragioni concrete.

Nessuna conservazione obbligatoria dei dati. Panama non ha leggi che obblighino i provider VPN a conservare l’attività degli utenti o i dati di connessione. Molti paesi europei e nordamericani impongono periodi di conservazione da 6 a 24 mesi. Panama no.

Al di fuori delle alleanze di intelligence. Panama non fa parte degli accordi di sorveglianza Five Eyes, Nine Eyes e Fourteen Eyes. Queste alleanze condividono dati di intelligence tra le nazioni membri. Una VPN con sede negli USA, nel Regno Unito, in Canada o in Australia affronta potenziali obblighi di divulgazione. NordVPN no.

Effetto pratico sulle richieste di dati. Le agenzie straniere delle forze dell’ordine non possono obbligare un’azienda panamense a produrre documenti attraverso i propri sistemi legali. Devono operare attraverso i tribunali panamensi. Anche in quel caso, NordVPN non mantiene log da produrre. La giurisdizione aggiunge una barriera strutturale in aggiunta a quella tecnica.

Crittografia AES-256 e opzioni di protocollo

NordVPN crittografa tutto il traffico con AES-256. Questo è lo stesso standard di crittografia utilizzato dal governo statunitense per le informazioni classificate. Nessun attacco noto può violare AES-256 in tempi pratici. Le stime attuali suggeriscono che con la potenza di calcolo esistente sarebbero necessari miliardi di anni.

Protocollo NordLynx

NordLynx è il protocollo predefinito di NordVPN. Si basa su WireGuard, che offre velocità elevate grazie a un codebase snello di 4.000 righe. WireGuard da solo presenta un limite in termini di privacy: richiede la memorizzazione di indirizzi IP statici sul server.

NordVPN ha risolto questo problema con un sistema a doppio NAT (Network Address Translation). Il doppio NAT assegna un indirizzo di interfaccia dinamico a ogni sessione. Quando la sessione termina, l’indirizzo scompare. Questo offre i vantaggi di velocità di WireGuard senza il compromesso sulla privacy.

NordLynx è costruito su WireGuard, che mantiene il sovraccarico del protocollo basso; le velocità reali dipendono dalla tua connessione e dalla distanza dal server. Il protocollo gestisce lo streaming, i giochi e i download di grandi dimensioni senza colli di bottiglia.

OpenVPN

OpenVPN rimane disponibile per gli utenti che preferiscono un protocollo collaudato. Funziona sia su TCP che su UDP. TCP garantisce affidabilità per le reti restrittive. UDP offre velocità superiori per l’uso generale. Il codebase open-source di OpenVPN è stato ampiamente verificato dalla comunità della sicurezza nel corso di due decenni.

IKEv2/IPsec

IKEv2/IPsec funziona bene sui dispositivi mobili. Si riconnette rapidamente quando si passa tra reti Wi-Fi e cellulari. NordVPN lo abbina alla crittografia AES-256. Questo protocollo è adatto agli utenti che cambiano rete frequentemente.

Il kill switch previene le fughe di dati durante le interruzioni

Le connessioni VPN possono cadere. Quando ciò accade, il traffico non protetto può raggiungere il tuo ISP. Il kill switch di NordVPN lo impedisce.

Il kill switch monitora continuamente la connessione VPN. Se il tunnel cade, blocca immediatamente tutto il traffico internet. Nessun dato lascia il dispositivo finché la VPN non si riconnette. NordVPN offre due modalità di kill switch:

Kill switch a livello di app. Questo blocca l’accesso a internet per applicazioni specifiche quando la VPN si disconnette. Le altre app continuano a funzionare normalmente.

Kill switch a livello di sistema. Questo blocca tutto il traffico internet a livello di dispositivo. Nulla passa senza la VPN. Questa è l’opzione più sicura per le attività critiche in termini di privacy.

La protezione dalle fughe DNS mantiene private le query

Le richieste DNS traducono i nomi di dominio in indirizzi IP. Senza protezione, queste richieste possono raggiungere il tuo ISP anche mentre sei connesso a una VPN. NordVPN instrada tutte le query DNS attraverso i propri server DNS crittografati.

Questo impedisce al tuo ISP di vedere quali siti web visiti. Blocca anche i provider DNS di terze parti dal registrare i tuoi schemi di navigazione. I test indipendenti per le fughe DNS confermano costantemente che la protezione di NordVPN funziona come pubblicizzato.

Threat Protection blocca malware e tracker

Threat Protection opera a livello di rete. Blocca i domini malevoli noti prima che si carichino. Rimuove i parametri di tracciamento dagli URL. Identifica e blocca i download di malware.

Threat Protection funziona anche quando non sei connesso a un server VPN. Opera come livello di sicurezza autonomo sulle piattaforme supportate. AV-TEST, un istituto di sicurezza indipendente, ha certificato le capacità di blocco del malware di Threat Protection.

La funzione analizza i file durante il download. Controlla gli URL rispetto a database di minacce costantemente aggiornati. Blocca gli annunci intrusivi che spesso fungono da vettori di distribuzione del malware.

Riferimenti

1. Nordvpn. s.d. Cure53. https://nordvpn.com/blog/cure53-latest-security-assessment/.
2. Nordvpn. s.d. pagina di audit no-logs. https://nordvpn.com/blog/nordvpn-audit/.
3. Nordvpn. s.d. rapporti sulla trasparenza. https://nordvpn.com/blog/nordvpn-transparency-report/.

Risorse per questa pagina

Grafici e immagini di riferimento dalla nostra ricerca, liberi da visualizzare e condividere.

• 

• Is NordVPN Safe? Audits, Encryption & Privacy ReviewPDF · 1.3 MB

Domande frequenti

TuttiSicurezza e PrivacyCome funzionaPrezziConfigurazione e Supporto

NordVPN è davvero sicuro da usare?

Sì. NordVPN crittografa il traffico con AES-256, opera secondo la giurisdizione panamense priva di obbligo di conservazione dati, e ha fatto sottoporre le sue app e l’infrastruttura a valutazione da parte di Cure53, inoltre sostiene che Deloitte ha sottoposto a audit la sua politica no-logs. L’unico incidente di sicurezza, una singola violazione di un server in Finlandia nel 2018, non ha esposto alcuna credenziale utente o dato di navigazione poiché non esistevano log da rubare.

Cosa è successo esattamente nella violazione di NordVPN del 2018 e dovrebbe preoccuparti adesso?

Un aggressore ha sfruttato uno strumento di gestione remota che il data center finlandese ha lasciato attivo senza conoscenza di NordVPN, ottenendo accesso a un server su migliaia senza credenziali utente, log di navigazione o dati dell’account. NordVPN lo ha rivelato nell’ottobre 2019, quindi ha migrato l’intera rete su server RAM-only, ha aggiunto un bug bounty HackerOne e si è impegnata per audit ricorrenti di terze parti.

Quali sono le società indipendenti che hanno verificato la sicurezza di NordVPN?

NordVPN ha pubblicato tre valutazioni di Cure53: app e componenti aggiuntivi (rapporto datato febbraio 2023), server e infrastruttura (febbraio 2023) e app, estensioni e funzioni (dicembre 2024). Separatamente, NordVPN afferma di aver commissionato verifiche di conformità alla politica no-logs a PwC e Deloitte, ma non abbiamo trovato alcun rapporto verificatore accessibile pubblicamente.

Perché NordVPN opera da Panama e quale protezione offre quella giurisdizione?

La società madre di NordVPN, Tefincom S.A., ha sede a Panama specificamente perché il paese non ha leggi obbligatorie sulla conservazione dei dati e si trova al di fuori delle alleanze di condivisione dell’intelligence dei Five Eyes, Nine Eyes e Fourteen Eyes. Le forze dell’ordine straniere devono ricorrere ai tribunali panamegni per ottenere i dati, e anche in quel caso NordVPN afferma di non mantenere alcun registro da consegnare.

Quale crittografia utilizza NordVPN e può essere realisticamente violata?

NordVPN utilizza AES-256, lo stesso standard che il governo statunitense applica alle informazioni classificate, su tutti i suoi protocolli. Nessun metodo noto può violare AES-256 in un lasso di tempo pratico. Le stime attuali collocano un tentativo di forza bruta a miliardi di anni anche con la potenza di calcolo moderna, rendendo la crittografia stessa praticamente inviolabile con la tecnologia odierna.

Cos’è NordLynx e come risolve il principale difetto di privacy di WireGuard?

NordLynx è il protocollo predefinito di NordVPN, costruito sul codebase snello di WireGuard per la velocità ma modificato per risolvere la debolezza principale di WireGuard: la necessità di memorizzare un indirizzo IP statico per utente sul server. Il sistema doppio NAT di NordVPN assegna a ogni sessione un indirizzo temporaneo che scompare alla disconnessione, fornendo le prestazioni di WireGuard senza lasciare un identificativo persistente dietro.

Come impedisce effettivamente il kill switch di NordVPN alle fughe di dati quando una connessione cade?

Il kill switch di NordVPN monitora continuamente il tunnel VPN e blocca tutto il traffico internet all’istante in cui cade, quindi nulla lascia il dispositivo senza protezione fino al ripristino della connessione. Offre una modalità a livello di app che blocca solo le applicazioni scelte e una modalità a livello di sistema che blocca tutto il traffico del dispositivo, l’opzione più ristretta per sessioni critiche in termini di privacy come la gestione dei dati finanziari.

NordVPN protegge dalle perdite DNS che potrebbero esporre la mia navigazione al mio ISP?

Sì. NordVPN instrada tutte le query DNS attraverso i suoi server DNS crittografati anziché il resolver predefinito del tuo ISP, impedendo al tuo provider o ai servizi DNS di terze parti di registrare quali siti visiti. Puoi confermarne il funzionamento eseguendo un test di perdita DNS mentre sei connesso.

Cosa blocca la Threat Protection di NordVPN e funziona senza la VPN connessa?

Threat Protection blocca domini malevoli noti prima che si carichino, rimuove i parametri di tracciamento dagli URL e analizza i file scaricati per il malware, il tutto a livello di rete. Funziona come livello di sicurezza autonomo anche quando non sei connesso a un server VPN. AV-TEST, un istituto di sicurezza indipendente, ha certificato la sua capacità di blocco del malware.

Come si confronta la sicurezza di NordVPN con ExpressVPN e ProtonVPN a un prezzo simile?

Tutti e tre partono da un punto di prezzo simile (NordVPN da $3.49/mese, ExpressVPN da $2.99/mese, ProtonVPN da $3.49/mese) e offrono garanzie di rimborso di 30 giorni, ma la profondità delle verifiche differisce. Le valutazioni Cure53 di NordVPN si affiancano al rapporto di assurance di KPMG e alle verifiche Cure53 di ExpressVPN, e a ProtonVPN, che opera secondo la giurisdizione svizzera e dichiara di aver fatto sottoporre la sua politica no-logs a verifica da parte di Securitum. NordVPN si posiziona al #1 di 22 nel nostro Trust Score, aggregato da test di terze parti pubblicati; ExpressVPN si posiziona al #2, ProtonVPN al #3.

C’è un modo per testare le affermazioni di sicurezza di NordVPN senza rischi prima di impegnarsi?

Sì. NordVPN supporta ogni piano con una garanzia di rimborso di 30 giorni, offrendoti un mese intero per testare il kill switch, la protezione dalle fughe DNS e Threat Protection da solo prima di decidere. Se le funzioni di sicurezza di NordVPN non reggono al tuo stesso scrutinio entro quella finestra, puoi richiedere un rimborso senza alcun impegno a lungo termine.

L’utilizzo di più dispositivi con un singolo account NordVPN indebolisce la protezione della privacy?

No. Un singolo account NordVPN copre 10 connessioni simultanee su dispositivi diversi, e ogni connessione esegue la stessa crittografia AES-256, kill switch e protezione da perdite DNS in modo indipendente. L’aggiunta di dispositivi non diluisce la sicurezza poiché la politica no-logs di NordVPN si applica uniformemente su ogni dispositivo connesso anziché aumentare il rischio al variare del numero di dispositivi.

Come posso confermare che il kill switch di NordVPN mi sta effettivamente proteggendo prima di affidarmi ad esso?

Connettiti a un server NordVPN, quindi disconnetti bruscamente il tuo Wi-Fi o stacca ethernet a metà sessione per forzare una caduta. Un kill switch funzionante taglia istantaneamente tutto il traffico internet anziché ricadere sulla tua connessione senza protezione. Il kill switch a livello di sistema di NordVPN blocca tutto il traffico del dispositivo, mentre la versione a livello di app limita solo le app scelte, quindi prova la modalità che intendi usare.

Cosa dovresti fare se sei preoccupato per una ripetizione dell’incidente del server di NordVPN del tipo 2018?

È necessaria poca azione da parte tua poiché la risposta di NordVPN ha affrontato le cause profonde: ha migrato l’intera rete su server RAM-only che cancellano i dati a ogni riavvio, ha aggiunto un bug bounty HackerOne per test di vulnerabilità continui e si è impegnata per audit ricorrenti di terze parti. Se sei preoccupato, controlla i rapporti sulla trasparenza pubblicati di NordVPN, che mostrano nessun dato disponibile da consegnare.