Perché le VPN gratuite sono rischiose

Chi paga per una VPN gratuita

Qualcuno paga sempre. Un fornitore VPN affitta server in molti paesi, compra banda di transito, paga sviluppatori e assistenza e copre le commissioni degli app store. Per un servizio popolare tutto questo si somma in un costo ricorrente serio, che non sparisce perché il pulsante di download dice «gratis».

Un fornitore a pagamento lo copre con gli abbonamenti, il che tiene gli incentivi semplici: tu paghi, ricevi un tunnel, e l'interesse del fornitore è tenerti come cliente. Un fornitore gratuito senza abbonamenti deve trovare entrate altrove, e l'unico patrimonio che possiede sono i suoi utenti, il loro traffico e i loro dispositivi.

Come guadagnano davvero le app VPN gratuite

I modelli di business dietro le app VPN gratuite sono ben conosciuti, e la maggior parte è in conflitto diretto con la privacy. L'app siede in una posizione perfetta per osservare tutto ciò che fai online, ed è proprio quel punto di osservazione il prodotto in vendita.

Nessuno di questi modelli richiede che l'app sia tecnicamente rotta. Il tunnel può funzionare esattamente come pubblicizzato mentre il logging avviene in silenzio lato server, dove non hai alcun modo di vederlo.

• Vendita dei registri di navigazione e connessione a data broker e inserzionisti
• Iniezione di pubblicità o script di tracciamento nelle pagine e app che usi
• Rivendita della connessione del tuo dispositivo come parte di una rete proxy, così il traffico di sconosciuti esce dal tuo indirizzo IP
• Inclusione di SDK di terze parti che raccolgono posizione, identificatori del dispositivo ed elenco delle app
• Spinta verso un piano a pagamento mentre gli utenti gratuiti vengono monetizzati con uno qualsiasi dei metodi sopra

Cosa continuano a trovare i report di sicurezza

I ricercatori indipendenti che analizzano in massa le app VPN gratuite tendono a trovare sempre le stesse categorie di problemi: informative sulla privacy che permettono di condividere i dati di traffico con terzi, tracker incorporati di società pubblicitarie, richieste di permessi di cui un tunnel non ha bisogno e, in alcuni casi, nessuna cifratura funzionante.

Un altro riscontro ricorrente è la proprietà opaca. Molte app gratuite con nomi e loghi diversi risalgono alle stesse poche aziende, quindi un utente che confronta le opzioni in un app store può star scegliendo tra facciate di un unico operatore.

I dettagli variano da report a report, ma lo schema è abbastanza stabile da trattarlo come assunzione di default: una VPN gratuita senza una fonte di ricavi chiara va presunta monetizzare i suoi utenti finché non dimostra il contrario.

Il rischio è più grande delle pubblicità

Un'app imbottita di pubblicità è fastidiosa; un tunnel compromesso è pericoloso. Una app VPN gira con la capacità di vedere e dirottare tutto il traffico del tuo dispositivo. Se l'operatore è negligente o malintenzionato, quella posizione può essere abusata per raccogliere credenziali sulle connessioni non HTTPS, per dirottarti su pagine sosia, o per installare un certificato root che smonta le protezioni contro l'ispezione TLS.

L'abbandono è un rischio più silenzioso. Le app gratuite sono spesso progetti secondari: il tunnel continua a girare su vecchio software server con vulnerabilità note, nessuno risponde alle segnalazioni di sicurezza, e l'app cambia di mano in silenzio quando lo sviluppatore originale la vende. Non avresti alcun modo di accorgerti che il nuovo proprietario ha altri piani per i tuoi dati.

Con un servizio a pagamento almeno conosci la struttura degli incentivi e hai una controparte che risponde ai clienti paganti. Aurora, per esempio, pubblica cosa registra e cosa no e offre una finestra di rimborso di 14 giorni: provarla non costa nulla, ma non è finanziata dai tuoi dati.

Quando una VPN gratuita va davvero bene

Gratis non è automaticamente una truffa. Una prova a tempo di un servizio a pagamento è gratuita proprio perché il fornitore si aspetta che alcuni utenti si abbonino; l'economia è trasparente. Lo stesso vale per un piano gratuito limitato — traffico con tetto o meno località — offerto da un operatore la cui infrastruttura è chiaramente finanziata dai clienti paganti.

Il tratto distintivo è una risposta visibile alla domanda sui soldi. Se il fornitore dice chiaramente che gli utenti gratuiti ricevono una fetta dell'infrastruttura a pagamento come marketing, gli incentivi sono allineati ai tuoi. Se il servizio promette banda gratuita illimitata per sempre e non spiega mai le sue entrate, non lo sono.

Come controllare da cosa guadagna un servizio gratuito

Non serve essere un ricercatore di sicurezza per fare un controllo di base. Dieci minuti di lettura ti dicono gran parte di ciò che conta, perché la monetizzazione deve essere dichiarata da qualche parte — di solito nell'informativa sulla privacy, nei permessi, o nel marketing che l'azienda stessa rivolge agli inserzionisti.

Nessuno di questi controlli richiede strumenti speciali, e un fornitore che ne fallisce due o più ti ha detto abbastanza. Lascia perdere; di alternative non c'è penuria.

• Leggi l'informativa sulla privacy cercando le parole vendere, condividere, partner, pubblicità e affiliati riferite ai dati di traffico o di utilizzo
• Controlla quali permessi chiede l'app; a un tunnel serve l'accesso alla rete, non i tuoi contatti o la posizione precisa
• Cerca chi possiede l'azienda, dove è registrata e se lo stesso proprietario gestisce molte app simili
• Cerca un audit di sicurezza indipendente o una verifica no-log pubblicata
• Diffida della banda gratuita illimitata; la banda è la cosa più costosa che un fornitore VPN compra
• Preferisci la prova o la finestra di rimborso di un servizio a pagamento a uno sconosciuto gratuito per sempre