ProtonVPN è sicuro? Analisi di sicurezza, privacy e audit
ProtonVPN è sicuro? Risultati degli audit indipendenti, protocolli di crittografia, analisi della giurisdizione, test del kill switch e verifica della politica no-log.
VPN più sicure
ProtonVPN è sicuro? Un’analisi approfondita su sicurezza e privacy
ProtonVPN ottiene un punteggio di fiducia di 88/100 grazie alla sua giurisdizione svizzera, alla politica no-log verificata tramite audit e alla crittografia AES-256-GCM. Il servizio gestisce oltre 15.000 server in più di 120 paesi. Audit indipendenti condotti da Securitum hanno confermato l’assenza di registrazione dell’attività degli utenti. La legge svizzera garantisce forti protezioni della privacy contro le richieste di dati straniere e la sorveglianza di massa.
Giurisdizione svizzera e cosa significa per i tuoi dati
ProtonVPN opera sotto Proton AG, con sede a Ginevra, in Svizzera. La Svizzera è al di fuori delle alleanze di sorveglianza 5 Eyes, 9 Eyes e 14 Eyes. Questa distinzione conta più di quanto la maggior parte delle affermazioni di marketing suggerisca.
La legge svizzera richiede un valido ordine del tribunale svizzero prima che le autorità possano obbligare alla divulgazione di dati. Le richieste dei governi stranieri devono passare attraverso un processo di Trattato di assistenza giudiziaria reciproca. I tribunali svizzeri respingono le richieste che non soddisfano gli standard legali nazionali.
La Legge federale sulla protezione dei dati della Svizzera è tra i quadri normativi sulla privacy più severi al mondo. La legge vieta la sorveglianza indiscriminata e impone la proporzionalità nella raccolta dei dati. ProtonVPN non può essere costretto a installare backdoor o condurre intercettazioni in tempo reale ai sensi degli attuali statuti svizzeri.
Esiste una sfumatura critica. Le autorità svizzere possono obbligare ProtonVPN a iniziare a registrare un account specifico a partire da un determinato momento, in presenza di un valido ordine del tribunale. Tuttavia, non possono richiedere dati storici che ProtonVPN non ha mai raccolto. La politica no-log significa che la sorveglianza retroattiva è tecnicamente impossibile.
Cronologia degli audit di ProtonVPN
ProtonVPN ha subito molteplici audit di sicurezza indipendenti, costruendo un credibile registro di trasparenza nel corso di diversi anni.
Nel 2019, SEC Consult ha sottoposto ad audit le applicazioni ProtonVPN per Windows, macOS e Android. L’audit ha identificato diverse vulnerabilità classificate da bassa a media gravità. Proton ha risolto tutti i problemi segnalati prima di pubblicare pubblicamente i rapporti completi degli audit.
Securitum, un’azienda europea di cybersicurezza, ha condotto un audit della politica no-log nel 2022. I revisori hanno esaminato l’infrastruttura server di ProtonVPN e hanno confermato che il servizio non conserva alcuna attività di navigazione, timestamp di connessione o indirizzi IP. Securitum ha riscontrato che le dichiarazioni no-log sono coerenti con le configurazioni effettive dei server.
Nel 2023, Securitum ha eseguito un audit di follow-up che copre l’infrastruttura aggiornata di ProtonVPN, inclusi i server Secure Core. I risultati hanno riaffermato i precedenti. Tutti i rapporti degli audit rimangono pubblicamente disponibili sul sito web di Proton per la verifica indipendente.
Proton ha inoltre reso open-source tutte le applicazioni client VPN. Questo consente a qualsiasi ricercatore di sicurezza di ispezionare il codice alla ricerca di vulnerabilità o meccanismi di registrazione nascosti. L’approccio open-source aggiunge un livello permanente di responsabilità oltre agli audit periodici.
Politica no-log di ProtonVPN: cosa viene esattamente archiviato
La politica sulla privacy di ProtonVPN specifica cosa il servizio raccoglie e cosa no. La distinzione è importante perché “no log” significa cose diverse a seconda del provider.
Non raccolti: cronologia di navigazione, query DNS, contenuto del traffico, timestamp di connessione, durate delle sessioni, indirizzi IP sorgente o indirizzi IP VPN assegnati. ProtonVPN non archivia nessuno di questi dati in nessuna circostanza.
Raccolti: dati di creazione dell’account, inclusi indirizzo email e informazioni di pagamento. ProtonVPN archivia anche un timestamp dell’ultimo tentativo di accesso riuscito. Questo singolo timestamp viene sovrascritto a ogni nuovo accesso, quindi non si accumula alcun registro storico degli accessi.
Il timestamp esiste esclusivamente per prevenire l’abuso delle credenziali tra gli account. Non può rivelare a quale server ti sei connesso, quanto sei rimasto connesso o cosa hai visitato. Questo approccio bilancia le minime esigenze di sicurezza dell’account con la massima privacy.
ProtonVPN elabora i pagamenti tramite terze parti e accetta Bitcoin per un ulteriore anonimato. Gli utenti possono registrarsi con un indirizzo ProtonMail anonimo e criptovaluta, lasciando essenzialmente zero informazioni identificative in archivio.
Standard di crittografia e opzioni di protocollo
ProtonVPN utilizza per impostazione predefinita la crittografia AES-256-GCM per i canali dati. Questo cifrario rimane inviolato da qualsiasi attacco conosciuto. La stessa NSA certifica AES-256 per la protezione delle informazioni classificate come Top Secret.
Il servizio supporta 4 protocolli VPN. WireGuard offre velocità superiori a 400 Mbps su connessioni adeguate con crittografia moderna. OpenVPN funziona in modalità UDP e TCP utilizzando uno scambio di chiavi RSA a 4096 bit. IKEv2/IPSec garantisce una riconnessione rapida sui dispositivi mobili. Il protocollo Stealth avvolge il traffico VPN in TLS per aggirare l’ispezione approfondita dei pacchetti.
La perfect forward secrecy genera chiavi di crittografia univoche per ogni sessione. Se un attaccante compromette una chiave di sessione, tutte le sessioni passate e future rimangono protette. ProtonVPN la applica su tutti i protocolli supportati.
Comportamento del kill switch e protezione dalle perdite DNS
ProtonVPN include 2 modalità di kill switch nelle applicazioni desktop. Il kill switch standard blocca il traffico internet quando la connessione VPN cade inaspettatamente. Il kill switch permanente blocca tutto il traffico non VPN anche quando ProtonVPN viene disconnesso manualmente.
Il kill switch permanente impedisce completamente la navigazione accidentale al di fuori del tunnel VPN. Questa funzionalità è rivolta a giornalisti, attivisti e utenti in ambienti ad alta sorveglianza, dove una singola connessione esposta crea rischi.
La protezione dalle perdite DNS instrada tutte le query DNS attraverso i server DNS di ProtonVPN. Il servizio gestisce resolver DNS su ogni server VPN, eliminando il coinvolgimento di DNS di terze parti. Gli strumenti di test indipendenti confermano costantemente l’assenza di perdite DNS, IPv6 o WebRTC durante le connessioni attive.
Su Android, ProtonVPN si integra con le funzionalità always-on VPN e blocco connessioni senza VPN del sistema operativo. Queste forniscono una protezione kill switch a livello di sistema indipendente dall’app stessa.
Incidenti di sicurezza passati e la risposta di Proton
ProtonVPN non ha una storia nota di violazioni dei server o esposizione di dati degli utenti. Nessun attacco confermato ha compromesso il traffico degli utenti o le credenziali degli account secondo le ultime informazioni disponibili.
Nel 2019, un ricercatore di sicurezza indipendente ha identificato una vulnerabilità di escalation dei privilegi locali nel client Windows. ProtonVPN ha riconosciuto la segnalazione entro 48 ore e ha rilasciato una patch nell’arco della stessa settimana. La vulnerabilità richiedeva l’accesso fisico al dispositivo e non è mai stata sfruttata in natura.
Il servizio principale di Proton, ProtonMail, ha affrontato un incidente di grande risonanza nel 2021. Le autorità svizzere hanno costretto ProtonMail a registrare l’indirizzo IP di un attivista specifico in base a un valido ordine del tribunale. ProtonVPN ha chiarito che la legge svizzera tratta i servizi VPN in modo diverso rispetto all’email in materia di normative sulla sorveglianza. L’azienda ha successivamente spostato la propria entità legale per rafforzare le protezioni e ha pubblicato un rapporto di trasparenza che dettaglia le richieste governative ricevute.
Proton pubblica ora rapporti annuali di trasparenza che elencano il numero di richieste legali ricevute e contestate. Nel 2023, Proton ha ricevuto oltre 6.000 richieste e ne ha accolte circa 4.000 dopo la revisione legale. Per gli utenti VPN, la conformità significava fornire solo i dati minimi dell’account in archivio, mai l’attività di navigazione.
Funzionalità di sicurezza uniche specifiche di ProtonVPN
Secure Core instrada il traffico attraverso server protetti in Svizzera, Islanda e Svezia prima di raggiungere il server di uscita. Questa architettura a doppio hop protegge contro server di uscita compromessi che espongono il tuo indirizzo IP reale. I server Secure Core funzionano su hardware dedicato di proprietà di Proton in data center ad alta sicurezza.
NetShield è un blocco di annunci, malware e tracker a livello DNS integrato nei server di ProtonVPN. Filtra i domini dannosi prima che raggiungano il tuo dispositivo, bloccando le minacce a livello di rete. NetShield non elabora alcun dato utente perché il filtraggio avviene tramite la risoluzione DNS, non l’ispezione del traffico.
VPN Accelerator utilizza tecniche di connessione parallela per aumentare le velocità di oltre il 400% sulle connessioni a server distanti. Questa tecnologia elimina il tipico calo di velocità associato alla connessione a server lontani.
Tor over VPN fornisce accesso integrato alla rete Tor tramite server dedicati. Gli utenti possono accedere ai siti .onion senza installare separatamente il browser Tor. Il livello VPN impedisce al proprio ISP di rilevare l’utilizzo di Tor.
ProtonVPN supporta anche lo split tunneling su Windows, Android e Linux. Ciò consente agli utenti di instradare app specifiche al di fuori del tunnel VPN proteggendo tutto il resto.
Domande frequenti
ProtonVPN è veramente sicuro da usare per attività sensibili?
Sì. ProtonVPN ottiene un punteggio di fiducia di 88/100 costruito sulla giurisdizione svizzera al di fuori delle alleanze 5/9/14 Eyes, la crittografia AES-256-GCM e una politica no-log verificata da Securitum nel 2022 e di nuovo nel 2023. Le sue applicazioni VPN sono open-source, permettendo ai ricercatori indipendenti di ispezionare il codice direttamente piuttosto che affidarsi unicamente ai rapporti di audit periodici.
La giurisdizione della Svizzera protegge davvero gli utenti di ProtonVPN dalle richieste di dati dei governi?
Per lo più, con una sfumatura. La legge svizzera richiede un ordine del tribunale valido prima di obbligare la divulgazione dei dati, e le richieste straniere devono passare un processo di Trattato di assistenza giudiziaria reciproca. Nel 2023, Proton ha ricevuto oltre 6.000 richieste legali e ne ha accolte circa 4.000, ma la conformità ha significato fornire solo dati limitati dell’account, poiché non esistono log di navigazione da divulgare.
Cosa ha rivelato l’incidente ProtonMail del 2021 sulle effettive protezioni della privacy di ProtonVPN?
Le autorità svizzere hanno costretto ProtonMail, il servizio email di Proton, a registrare l’indirizzo IP di uno specifico attivista secondo un valido ordine del tribunale nel 2021. ProtonVPN ha chiarito che la legge svizzera tratta i servizi VPN diversamente dall’email secondo le normative sulla sorveglianza. Proton ha successivamente ristrutturato la sua entità legale e ha iniziato a pubblicare rapporti annuali di trasparenza dettagliando le richieste governative ricevute e contestate.
Quali audit ha effettivamente completato ProtonVPN e cosa hanno scoperto?
Tre finora. SEC Consult ha eseguito l’audit delle app Windows, macOS e Android nel 2019, trovando problemi di gravità bassa-media che Proton ha corretto prima di pubblicare i rapporti. Securitum ha quindi eseguito l’audit della politica no-log nel 2022, confermando zero attività di navigazione archiviata o indirizzi IP, e ha ripetuto quella verifica nel 2023 coprendo l’infrastruttura Secure Core.
Quali dati lascia esattamente uncollected la politica no-log di ProtonVPN?
La cronologia di navigazione, le query DNS, i timestamp di connessione, le durate delle sessioni e sia gli indirizzi IP sorgente che quelli assegnati non vengono mai archiviati. ProtonVPN raccoglie i dati di creazione dell’account (email e informazioni di pagamento) e un singolo timestamp dell’ultimo accesso che si sovrascrve con ogni nuovo accesso, esistendo solo per segnalare l’abuso di credenziali piuttosto che tracciare i modelli di utilizzo.
Come protegge ProtonVPN il kill switch dal traffico esposto?
ProtonVPN esegue due modalità di kill switch sulle app desktop. La modalità standard blocca il traffico internet se la connessione VPN cade inaspettatamente, mentre il kill switch permanente blocca tutto il traffico non VPN anche dopo una disconnessione manuale. La modalità permanente è rivolta a giornalisti e attivisti in ambienti ad alta sorveglianza dove una singola connessione esposta crea vero rischio.
Cos’è Secure Core e aggiunge una protezione significativa?
Secure Core instrada il tuo traffico attraverso server protetti in Svizzera, Islanda o Svezia prima di raggiungere il server di uscita, creando un’architettura a doppio hop. Questo design protegge contro un server di uscita compromesso che espone il tuo indirizzo IP reale, poiché il traffico passa prima attraverso hardware di proprietà di Proton in data center ad alta sicurezza prima di lasciare la rete.
Il design privacy-first di ProtonVPN rallenta la navigazione quotidiana?
Alquanto. ProtonVPN si classifica #12 su 22 nel nostro Speed Lab, aggregato da laboratori indipendenti, riflettendo un risultato middle-of-pack rispetto ai concorrenti focalizzati sulla velocità. La sua funzione VPN Accelerator utilizza tecniche di connessione parallela progettate per compensare il tipico calo di throughput sulle route server a lunga distanza, particolarmente evidente quando ci si connette a server lontani dalla propria posizione.
Quanti dispositivi posso effettivamente eseguire ProtonVPN contemporaneamente?
Tra 1 e 10 connessioni simultanee, a seconda del livello del tuo piano. Il livello gratuito ti limita a un singolo dispositivo con un server assegnato casualmente, mentre i livelli VPN Plus e Unlimited a pagamento si scalano fino all’intera quota di 10 dispositivi, coprendo Windows, macOS, Linux, Android e iOS.
Cosa succede se provo il piano a pagamento di ProtonVPN e decido che non è abbastanza sicuro per le mie esigenze?
I piani ProtonVPN a pagamento includono una garanzia di rimborso di 30 giorni, dandoti un intero mese per testare Secure Core, il kill switch permanente e NetShield prima di impegnarti. Poiché ProtonVPN offre anche un vero livello gratuito senza limite di tempo, puoi valutare l’architettura core della privacy gratuitamente prima di pagare mai.
Come si posiziona la sicurezza di ProtonVPN rispetto a NordVPN e Mullvad per il prezzo?
ProtonVPN parte da €2,49/mese sul suo piano più lungo con oltre 15.000 server in più di 120 paesi, classificato #12 su 22 nel Speed Lab. NordVPN parte da €3,49/mese con oltre 8.900 server in più di 129 paesi e si classifica #1. Mullvad parte da €5,50/mese con una rete di oltre 700 server ma enfatizza l’iscrizione anonima sulla velocità.
Come confermo che il kill switch di ProtonVPN e la protezione dalle perdite DNS funzionano dopo l’installazione?
Connettiti a un server, quindi forza la disconnessione del tuo Wi-Fi durante la sessione. Il kill switch standard dovrebbe tagliare tutto il traffico istantaneamente piuttosto che ricadere sulla tua connessione non protetta; l’abilitazione del kill switch permanente estende quel blocco anche dopo che ti disconnetti manualmente. Esegui un test indipendente di perdita DNS in seguito per confermare che le query instradano attraverso i propri resolver di ProtonVPN.
Cosa devo fare se sospetto che ProtonVPN stia perdendo il mio indirizzo IP reale o query DNS?
Esegui un test indipendente di perdita DNS mentre sei connesso, poiché ProtonVPN gestisce i propri resolver DNS su ogni server specificamente per eliminare il coinvolgimento di DNS di terze parti. Se appare una perdita, attiva il kill switch permanente per bloccare tutto il traffico non VPN e prova il routing doppio hop di Secure Core attraverso Svizzera, Islanda o Svezia per un livello di protezione aggiunto.