ProtonVPN è sicuro? Analisi di sicurezza, privacy e audit

ProtonVPN è sicuro? Un’analisi approfondita su sicurezza e privacy

ProtonVPN ottiene un punteggio di fiducia di 88/100 grazie alla sua giurisdizione svizzera, alla politica no-log verificata tramite audit e alla crittografia AES-256-GCM. Il servizio gestisce oltre 15.000 server in più di 120 paesi. Audit indipendenti condotti da Securitum hanno confermato l’assenza di registrazione dell’attività degli utenti. La legge svizzera garantisce forti protezioni della privacy contro le richieste di dati straniere e la sorveglianza di massa.

Giurisdizione svizzera e cosa significa per i tuoi dati

ProtonVPN opera sotto Proton AG, con sede a Ginevra, in Svizzera. La Svizzera è al di fuori delle alleanze di sorveglianza 5 Eyes, 9 Eyes e 14 Eyes. Questa distinzione conta più di quanto la maggior parte delle affermazioni di marketing suggerisca.

La legge svizzera richiede un valido ordine del tribunale svizzero prima che le autorità possano obbligare alla divulgazione di dati. Le richieste dei governi stranieri devono passare attraverso un processo di Trattato di assistenza giudiziaria reciproca. I tribunali svizzeri respingono le richieste che non soddisfano gli standard legali nazionali.

La Legge federale sulla protezione dei dati della Svizzera è tra i quadri normativi sulla privacy più severi al mondo. La legge vieta la sorveglianza indiscriminata e impone la proporzionalità nella raccolta dei dati. ProtonVPN non può essere costretto a installare backdoor o condurre intercettazioni in tempo reale ai sensi degli attuali statuti svizzeri.

Esiste una sfumatura critica. Le autorità svizzere possono obbligare ProtonVPN a iniziare a registrare un account specifico a partire da un determinato momento, in presenza di un valido ordine del tribunale. Tuttavia, non possono richiedere dati storici che ProtonVPN non ha mai raccolto. La politica no-log significa che la sorveglianza retroattiva è tecnicamente impossibile.

Cronologia degli audit di ProtonVPN

ProtonVPN ha subito molteplici audit di sicurezza indipendenti, costruendo un credibile registro di trasparenza nel corso di diversi anni.

Nel 2019, SEC Consult ha sottoposto ad audit le applicazioni ProtonVPN per Windows, macOS e Android. L’audit ha identificato diverse vulnerabilità classificate da bassa a media gravità. Proton ha risolto tutti i problemi segnalati prima di pubblicare pubblicamente i rapporti completi degli audit.

Securitum, un’azienda europea di cybersicurezza, ha condotto un audit della politica no-log nel 2022. I revisori hanno esaminato l’infrastruttura server di ProtonVPN e hanno confermato che il servizio non conserva alcuna attività di navigazione, timestamp di connessione o indirizzi IP. Securitum ha riscontrato che le dichiarazioni no-log sono coerenti con le configurazioni effettive dei server.

Nel 2023, Securitum ha eseguito un audit di follow-up che copre l’infrastruttura aggiornata di ProtonVPN, inclusi i server Secure Core. I risultati hanno riaffermato i precedenti. Tutti i rapporti degli audit rimangono pubblicamente disponibili sul sito web di Proton per la verifica indipendente.

Proton ha inoltre reso open-source tutte le applicazioni client VPN. Questo consente a qualsiasi ricercatore di sicurezza di ispezionare il codice alla ricerca di vulnerabilità o meccanismi di registrazione nascosti. L’approccio open-source aggiunge un livello permanente di responsabilità oltre agli audit periodici.

Politica no-log di ProtonVPN: cosa viene esattamente archiviato

La politica sulla privacy di ProtonVPN specifica cosa il servizio raccoglie e cosa no. La distinzione è importante perché “no log” significa cose diverse a seconda del provider.

Non raccolti: cronologia di navigazione, query DNS, contenuto del traffico, timestamp di connessione, durate delle sessioni, indirizzi IP sorgente o indirizzi IP VPN assegnati. ProtonVPN non archivia nessuno di questi dati in nessuna circostanza.

Raccolti: dati di creazione dell’account, inclusi indirizzo email e informazioni di pagamento. ProtonVPN archivia anche un timestamp dell’ultimo tentativo di accesso riuscito. Questo singolo timestamp viene sovrascritto a ogni nuovo accesso, quindi non si accumula alcun registro storico degli accessi.

Il timestamp esiste esclusivamente per prevenire l’abuso delle credenziali tra gli account. Non può rivelare a quale server ti sei connesso, quanto sei rimasto connesso o cosa hai visitato. Questo approccio bilancia le minime esigenze di sicurezza dell’account con la massima privacy.

ProtonVPN elabora i pagamenti tramite terze parti e accetta Bitcoin per un ulteriore anonimato. Gli utenti possono registrarsi con un indirizzo ProtonMail anonimo e criptovaluta, lasciando essenzialmente zero informazioni identificative in archivio.

Standard di crittografia e opzioni di protocollo

ProtonVPN utilizza per impostazione predefinita la crittografia AES-256-GCM per i canali dati. Questo cifrario rimane inviolato da qualsiasi attacco conosciuto. La stessa NSA certifica AES-256 per la protezione delle informazioni classificate come Top Secret.

Il servizio supporta 4 protocolli VPN. WireGuard offre velocità superiori a 400 Mbps su connessioni adeguate con crittografia moderna. OpenVPN funziona in modalità UDP e TCP utilizzando uno scambio di chiavi RSA a 4096 bit. IKEv2/IPSec garantisce una riconnessione rapida sui dispositivi mobili. Il protocollo Stealth avvolge il traffico VPN in TLS per aggirare l’ispezione approfondita dei pacchetti.

La perfect forward secrecy genera chiavi di crittografia univoche per ogni sessione. Se un attaccante compromette una chiave di sessione, tutte le sessioni passate e future rimangono protette. ProtonVPN la applica su tutti i protocolli supportati.

Comportamento del kill switch e protezione dalle perdite DNS

ProtonVPN include 2 modalità di kill switch nelle applicazioni desktop. Il kill switch standard blocca il traffico internet quando la connessione VPN cade inaspettatamente. Il kill switch permanente blocca tutto il traffico non VPN anche quando ProtonVPN viene disconnesso manualmente.

Il kill switch permanente impedisce completamente la navigazione accidentale al di fuori del tunnel VPN. Questa funzionalità è rivolta a giornalisti, attivisti e utenti in ambienti ad alta sorveglianza, dove una singola connessione esposta crea rischi.

La protezione dalle perdite DNS instrada tutte le query DNS attraverso i server DNS di ProtonVPN. Il servizio gestisce resolver DNS su ogni server VPN, eliminando il coinvolgimento di DNS di terze parti. Gli strumenti di test indipendenti confermano costantemente l’assenza di perdite DNS, IPv6 o WebRTC durante le connessioni attive.

Su Android, ProtonVPN si integra con le funzionalità always-on VPN e blocco connessioni senza VPN del sistema operativo. Queste forniscono una protezione kill switch a livello di sistema indipendente dall’app stessa.

Incidenti di sicurezza passati e la risposta di Proton

ProtonVPN non ha una storia nota di violazioni dei server o esposizione di dati degli utenti. Nessun attacco confermato ha compromesso il traffico degli utenti o le credenziali degli account secondo le ultime informazioni disponibili.

Nel 2019, un ricercatore di sicurezza indipendente ha identificato una vulnerabilità di escalation dei privilegi locali nel client Windows. ProtonVPN ha riconosciuto la segnalazione entro 48 ore e ha rilasciato una patch nell’arco della stessa settimana. La vulnerabilità richiedeva l’accesso fisico al dispositivo e non è mai stata sfruttata.

Il servizio principale di Proton, ProtonMail, ha affrontato un incidente di grande risonanza nel 2021. Le autorità svizzere hanno costretto ProtonMail a registrare l’indirizzo IP di un attivista specifico in base a un valido ordine del tribunale. ProtonVPN ha chiarito che la legge svizzera tratta i servizi VPN in modo diverso rispetto all’email in materia di normative sulla sorveglianza. L’azienda ha successivamente spostato la propria entità legale per rafforzare le protezioni e ha pubblicato un rapporto di trasparenza che dettaglia le richieste governative ricevute.

Proton pubblica ora rapporti annuali di trasparenza che elencano il numero di richieste legali ricevute e contestate. Nel 2023, Proton ha ricevuto oltre 6.000 richieste e ne ha accolte circa 4.000 dopo la revisione legale. Per gli utenti VPN, la conformità significava fornire solo i dati minimi dell’account in archivio, mai l’attività di navigazione.

Funzionalità di sicurezza uniche specifiche di ProtonVPN

Secure Core instrada il traffico attraverso server protetti in Svizzera, Islanda e Svezia prima di raggiungere il server di uscita. Questa architettura a doppio hop protegge contro server di uscita compromessi che espongono il tuo indirizzo IP reale. I server Secure Core funzionano su hardware dedicato di proprietà di Proton in data center ad alta sicurezza.

NetShield è un blocco di annunci, malware e tracker a livello DNS integrato nei server di ProtonVPN. Filtra i domini dannosi prima che raggiungano il tuo dispositivo, bloccando le minacce a livello di rete. NetShield non elabora alcun dato utente perché il filtraggio avviene tramite la risoluzione DNS, non l’ispezione del traffico.

VPN Accelerator utilizza tecniche di connessione parallela per aumentare le velocità di oltre il 400% sulle connessioni a server distanti. Questa tecnologia elimina il tipico calo di velocità associato alla connessione a server lontani.

Tor over VPN fornisce accesso integrato alla rete Tor tramite server dedicati. Gli utenti possono accedere ai siti .onion senza installare separatamente il browser Tor. Il livello VPN impedisce al proprio ISP di rilevare l’utilizzo di Tor.

ProtonVPN supporta anche lo split tunneling su Windows, Android e Linux. Ciò consente agli utenti di instradare app specifiche al di fuori del tunnel VPN proteggendo tutto il resto.

Domande frequenti

ProtonVPN conserva i log?

ProtonVPN non registra l’attività di navigazione, le query DNS, gli indirizzi IP o i timestamp di connessione. L’unico dato archiviato è un singolo timestamp che si sovrascrive dell’ultimo accesso riuscito. Securitum ha verificato e confermato questa politica nel 2022 e nel 2023. Il codice open-source consente la verifica indipendente.

ProtonVPN è stato hackerato?

Non si è verificata alcuna violazione confermata dei server di ProtonVPN o dei dati degli utenti. Un bug di escalation dei privilegi locali nel client Windows del 2019 è stato risolto con una patch entro giorni dalla scoperta. La vulnerabilità non è mai stata sfruttata contro utenti reali. Proton gestisce un programma di bug bounty per incentivare la divulgazione responsabile delle vulnerabilità.

ProtonVPN è affidabile?

ProtonVPN ottiene un punteggio di 88/100 nelle metriche di fiducia basate su giurisdizione, audit e pratiche di trasparenza. Le protezioni legali svizzere, molteplici audit indipendenti e il codice open-source creano una responsabilità verificabile. Proton pubblica rapporti annuali di trasparenza che documentano ogni richiesta governativa ricevuta. La storia operativa decennale dell’azienda non include alcun incidente di esposizione dei dati.

ProtonVPN può vedere i miei dati?

ProtonVPN non può vedere i tuoi dati di navigazione perché la crittografia AES-256-GCM protegge i contenuti del tunnel. La configurazione dei server dell’azienda non scrive log del traffico su disco. Securitum ha verificato questa architettura durante il loro audit dell’infrastruttura. Anche in caso di ordine del tribunale, ProtonVPN può fornire solo i dati minimi dell’account in suo possesso.