NordVPN è sicuro? Audit di sicurezza, crittografia e analisi della privacy

NordVPN è sicuro?

Sì. NordVPN utilizza la crittografia AES-256, opera sotto la giurisdizione favorevole alla privacy di Panama e ha superato molteplici audit indipendenti, tra cui una verifica completa della politica no-log da parte di Deloitte. Un singolo incidente a un server nel 2018 non ha esposto alcun dato degli utenti. NordVPN ha risposto migrando l’intera infrastruttura su server RAM-only, rafforzando significativamente la propria postura di sicurezza.

Questa pagina tratta la sicurezza in profondità. Per le prestazioni generali del servizio e i prezzi, consulta la nostra recensione di NordVPN.

L’incidente del server del 2018: cosa è successo davvero

Nel marzo 2018, una parte non autorizzata ha avuto accesso a un singolo server NordVPN in Finlandia. L’aggressore ha sfruttato uno strumento di gestione remota lasciato attivo dal provider del data center. NordVPN non ha installato questo strumento. L’ha fatto il data center, senza avvisare NordVPN.

L’aggressore ha ottenuto l’accesso al server stesso. Non ha ottenuto l’accesso alle credenziali degli utenti, all’attività di navigazione o alle informazioni sull’account. Il server non conteneva log di attività poiché la politica no-log di NordVPN non ne prevedeva l’esistenza.

NordVPN ha scoperto la violazione durante un audit interno e l’ha resa pubblica nell’ottobre 2019. Il ritardo ha suscitato critiche. L’azienda ha riconosciuto la lacuna e l’ha utilizzata come catalizzatore per cambiamenti radicali dell’infrastruttura.

Come ha risposto NordVPN

NordVPN ha rescisso immediatamente il contratto con il data center finlandese. Poi l’azienda ha avviato tre importanti iniziative:

Migrazione ai server RAM-only. NordVPN ha spostato l’intera rete su server diskless (RAM-only). Questi server non possono archiviare dati in modo persistente. Ogni riavvio cancella tutto. Anche il sequestro fisico di un server non produce nulla di utile.

Programma bug bounty. NordVPN ha stretto una partnership con HackerOne per consentire ai ricercatori di sicurezza indipendenti di analizzare continuamente i propri sistemi. I ricercatori ricevono premi per aver scoperto vulnerabilità prima degli aggressori.

Programma di audit indipendenti. NordVPN si è impegnata a svolgere regolari audit di sicurezza di terze parti. Ciò ha creato una responsabilità esterna continuativa anziché una rassicurazione una tantum.

L’incidente del 2018 ha riguardato un server su migliaia. Nessun dato degli utenti è trapelato. Tuttavia NordVPN lo ha trattato come un motivo per ricostruire la propria infrastruttura dalle fondamenta. Quella risposta conta più dell’incidente stesso.

Cronologia degli audit di NordVPN

Le affermazioni di fiducia senza verifica non significano nulla. NordVPN si è sottoposta a molteplici audit indipendenti da parte di società di sicurezza informatica rispettabili.

Audit di sicurezza delle applicazioni di VerSprite

VerSprite ha condotto una valutazione della sicurezza delle applicazioni di NordVPN. L’audit ha esaminato i client VPN alla ricerca di vulnerabilità, punti deboli nel codice e potenziali vettori di attacco. VerSprite ha riscontrato problemi tipici di software complessi. NordVPN li ha corretti. Il processo ha stabilito una base di riferimento per i test di sicurezza delle applicazioni in corso.

Valutazione dell’infrastruttura di Cure53

Cure53, un’azienda di sicurezza con sede a Berlino, ha condotto un audit a livello di infrastruttura. Il loro team ha esaminato le configurazioni dei server di NordVPN, l’architettura di rete e i sistemi backend. Cure53 ha identificato aree di miglioramento e confermato che l’infrastruttura principale operava in modo sicuro. NordVPN ha pubblicato i risultati pubblicamente.

Verifica della politica no-log di Deloitte (2022)

Questo audit ha il maggior peso per gli utenti attenti alla privacy. Deloitte, una delle Big Four delle società di revisione, ha condotto un esame approfondito delle affermazioni no-log di NordVPN. Deloitte ha ispezionato le configurazioni dei server, esaminato i controlli tecnici e intervistato il personale. NordVPN ha pubblicato pubblicamente i risultati dell’audit Deloitte.

La conclusione: l’infrastruttura server di NordVPN opera in linea con la sua politica no-log. L’azienda non memorizza timestamp di connessione, durate delle sessioni, indirizzi IP, dati di navigazione o utilizzo della larghezza di banda.

Trasparenza continuativa

NordVPN pubblica regolari rapporti sulla trasparenza che descrivono nel dettaglio le richieste di dati governative. Questi rapporti mostrano costantemente lo stesso risultato: NordVPN non dispone di dati da consegnare. I rapporti coprono anche le richieste di rimozione, lo stato del warrant canary e le lettere di sicurezza nazionale.

La giurisdizione panamense protegge la privacy degli utenti

La società madre di NordVPN, Tefincom S.A., opera secondo la legge panamense. Questo è rilevante per tre ragioni concrete.

Nessuna conservazione obbligatoria dei dati. Panama non ha leggi che obblighino i provider VPN a conservare l’attività degli utenti o i dati di connessione. Molti paesi europei e nordamericani impongono periodi di conservazione da 6 a 24 mesi. Panama no.

Al di fuori delle alleanze di intelligence. Panama non fa parte degli accordi di sorveglianza Five Eyes, Nine Eyes e Fourteen Eyes. Queste alleanze condividono dati di intelligence tra le nazioni membri. Una VPN con sede negli USA, nel Regno Unito, in Canada o in Australia affronta potenziali obblighi di divulgazione. NordVPN no.

Effetto pratico sulle richieste di dati. Le agenzie straniere delle forze dell’ordine non possono obbligare un’azienda panamense a produrre documenti attraverso i propri sistemi legali. Devono operare attraverso i tribunali panamensi. Anche in quel caso, NordVPN non mantiene log da produrre. La giurisdizione aggiunge una barriera strutturale in aggiunta a quella tecnica.

Crittografia AES-256 e opzioni di protocollo

NordVPN crittografa tutto il traffico con AES-256. Questo è lo stesso standard di crittografia utilizzato dal governo statunitense per le informazioni classificate. Nessun attacco noto può violare AES-256 in tempi pratici. Le stime attuali suggeriscono che con la potenza di calcolo esistente sarebbero necessari miliardi di anni.

Protocollo NordLynx

NordLynx è il protocollo predefinito di NordVPN. Si basa su WireGuard, che offre velocità elevate grazie a un codebase snello di 4.000 righe. WireGuard da solo presenta un limite in termini di privacy: richiede la memorizzazione di indirizzi IP statici sul server.

NordVPN ha risolto questo problema con un sistema a doppio NAT (Network Address Translation). Il doppio NAT assegna un indirizzo di interfaccia dinamico a ogni sessione. Quando la sessione termina, l’indirizzo scompare. Questo offre i vantaggi di velocità di WireGuard senza il compromesso sulla privacy.

I benchmark delle prestazioni mostrano che NordLynx raggiunge velocità superiori a 730 Mbps su connessioni gigabit. La latenza rimane bassa. Il protocollo gestisce streaming, gaming e download di grandi dimensioni senza colli di bottiglia.

OpenVPN

OpenVPN rimane disponibile per gli utenti che preferiscono un protocollo collaudato. Funziona sia su TCP che su UDP. TCP garantisce affidabilità per le reti restrittive. UDP offre velocità superiori per l’uso generale. Il codebase open-source di OpenVPN è stato ampiamente verificato dalla comunità della sicurezza nel corso di due decenni.

IKEv2/IPsec

IKEv2/IPsec funziona bene sui dispositivi mobili. Si riconnette rapidamente quando si passa tra reti Wi-Fi e cellulari. NordVPN lo abbina alla crittografia AES-256. Questo protocollo è adatto agli utenti che cambiano rete frequentemente.

Il kill switch previene le fughe di dati durante le interruzioni

Le connessioni VPN possono cadere. Quando ciò accade, il traffico non protetto può raggiungere il tuo ISP. Il kill switch di NordVPN lo impedisce.

Il kill switch monitora continuamente la connessione VPN. Se il tunnel cade, blocca immediatamente tutto il traffico internet. Nessun dato lascia il dispositivo finché la VPN non si riconnette. NordVPN offre due modalità di kill switch:

Kill switch a livello di app. Questo blocca l’accesso a internet per applicazioni specifiche quando la VPN si disconnette. Le altre app continuano a funzionare normalmente.

Kill switch a livello di sistema. Questo blocca tutto il traffico internet a livello di dispositivo. Nulla passa senza la VPN. Questa è l’opzione più sicura per le attività critiche in termini di privacy.

La protezione dalle fughe DNS mantiene private le query

Le richieste DNS traducono i nomi di dominio in indirizzi IP. Senza protezione, queste richieste possono raggiungere il tuo ISP anche mentre sei connesso a una VPN. NordVPN instrada tutte le query DNS attraverso i propri server DNS crittografati.

Questo impedisce al tuo ISP di vedere quali siti web visiti. Blocca anche i provider DNS di terze parti dal registrare i tuoi schemi di navigazione. I test indipendenti per le fughe DNS confermano costantemente che la protezione di NordVPN funziona come pubblicizzato.

Threat Protection blocca malware e tracker

Threat Protection opera a livello di rete. Blocca i domini malevoli noti prima che si carichino. Rimuove i parametri di tracciamento dagli URL. Identifica e blocca i download di malware.

Threat Protection funziona anche quando non sei connesso a un server VPN. Opera come livello di sicurezza autonomo sulle piattaforme supportate. AV-TEST, un istituto di sicurezza indipendente, ha certificato le capacità di blocco del malware di Threat Protection.

La funzione analizza i file durante il download. Controlla gli URL rispetto a database di minacce costantemente aggiornati. Blocca gli annunci intrusivi che spesso fungono da vettori di distribuzione del malware.

Domande frequenti

NordVPN è stata violata?

Non nel modo in cui la maggior parte delle persone pensa. Nel 2018, un aggressore ha avuto accesso a un singolo server in affitto in Finlandia attraverso lo strumento di gestione remota del data center. I sistemi principali di NordVPN, i database degli utenti e l’infrastruttura di autenticazione non sono mai stati compromessi. Nessuna credenziale utente o attività di navigazione è stata esposta. NordVPN ha risposto migrando ai server RAM-only, avviando un programma bug bounty e impegnandosi a svolgere audit indipendenti regolari.

NordVPN mantiene i log?

No. Deloitte ha verificato la politica no-log di NordVPN nel 2022 attraverso un audit completo. NordVPN non registra timestamp di connessione, durate delle sessioni, indirizzi IP, dati sulla larghezza di banda o attività di navigazione. L’infrastruttura server RAM-only rende fisicamente impossibile l’archiviazione persistente. Anche se un server venisse sequestrato, non conterrebbe dati degli utenti recuperabili.

NordVPN è affidabile?

NordVPN supporta le proprie affermazioni con verifiche indipendenti piuttosto che con promesse di marketing. Molteplici audit di VerSprite, Cure53 e Deloitte confermano le sue pratiche di sicurezza e privacy. La giurisdizione panamense fornisce una protezione strutturale della privacy. Il programma bug bounty invita a un controllo esterno continuo. I rapporti sulla trasparenza documentano ogni richiesta di dati e l’impossibilità di NordVPN di adempiere per mancanza di dati.

NordVPN può vedere i miei dati?

L’infrastruttura di NordVPN è progettata per impedirlo. I server RAM-only non conservano nulla tra i riavvii. Il sistema a doppio NAT del protocollo NordLynx garantisce che non esistano record persistenti di indirizzi IP. Le query DNS vengono instradate attraverso i server DNS privati di NordVPN, che non registrano le richieste. L’architettura tecnica elimina la capacità di monitorare o archiviare l’attività degli utenti, non solo la politica.

Come si confronta NordVPN con altre VPN in termini di sicurezza?

NordVPN si colloca nella fascia più alta per la sicurezza verificata in modo indipendente. Pochi concorrenti eguagliano la sua frequenza di audit. L’infrastruttura RAM-only la pone accanto a ExpressVPN e ProtonVPN in quella categoria. Il suo protocollo NordLynx offre una soluzione unica alle limitazioni di privacy di WireGuard. La funzione Threat Protection aggiunge un livello di sicurezza che la maggior parte delle VPN non possiede.

Per gli utenti attenti alla privacy che valutano le proprie opzioni, consulta il nostro confronto migliore VPN per la privacy. Inizia con la recensione di NordVPN per un quadro completo, poi controlla i prezzi di NordVPN prima di acquistare.