Guide
La classica storia di paura — qualcuno al bar che ti ruba la password dall'aria — è in gran parte superata, perché HTTPS cifra già il contenuto di quasi tutte le tue connessioni. Ciò che resta sul Wi-Fi pubblico è più sottile: metadati visibili come i nomi dei domini, punti di accesso falsi, captive portal e gli altri dispositivi che condividono la rete con te.
Quasi ogni sito e app seri cifrano il traffico da capo a capo. Password, messaggi e numeri di carta viaggiano dentro TLS, quindi un curioso sul Wi-Fi del bar vede testo cifrato, non i tuoi dati. Quella parte della vecchia minaccia è in gran parte sparita.
La cifratura nasconde cosa dici, non con chi parli. Le richieste DNS e i nomi dei server negli handshake TLS rivelano quali siti e servizi usi, e il gestore della rete o chiunque vi si sia piazzato può raccogliere quella lista.
Chiunque può trasmettere un hotspot con il nome del bar o dell'aeroporto. Il tuo dispositivo si aggancia al segnale più forte dall'aria familiare, e da quel momento l'attaccante è il tuo gateway. Questo, non lo sniffing delle password, è l'attacco moderno realistico.
Meno di quanto dica il folclore, più di zero. Dieci anni fa gran parte del web viaggiava in chiaro, e un portatile nell'angolo poteva davvero catturare i login dall'aria. Oggi quasi tutto il traffico che conta è avvolto in TLS: banche, posta, app di messaggistica e negozi cifrano i contenuti tra il tuo dispositivo e i loro server qualunque sia la rete su cui ti trovi.
Quello che sopravvive è un insieme diverso di rischi: metadati che la cifratura non copre, punti di accesso che non sono ciò che dichiarano, pagine-portale che chiedono dati personali, e il semplice fatto che condividi una rete locale con degli sconosciuti.
TLS nasconde il contenuto del tuo traffico ma non le sue destinazioni. Quando il tuo dispositivo risolve un nome host, quella richiesta DNS è spesso leggibile dalla rete, e quando apre una connessione TLS, il nome del server compare di solito in chiaro nell'handshake — il campo SNI. Chi gestisce o sorveglia l'hotspot può costruire un bell'elenco di ogni sito e app che hai toccato, con tanto di orari.
Per la maggior parte delle persone è una questione di privacy più che un'emergenza: l'elenco dei domini che visiti dice molto di te, e su una rete pubblica non hai idea di chi lo raccolga né perché. Il DNS cifrato restringe la fuga ma non elimina l'SNI.
Questa è la falla che una VPN chiude completamente sulle reti ostili: dentro il tunnel, DNS e handshake sono invisibili all'hotspot, che vede solo che sei connesso a un server VPN.
Nulla impedisce a chiunque di trasmettere una rete Wi-Fi con il nome del bar, dell'hotel o dell'aeroporto in cui ti trovi. I dispositivi si agganciano volentieri al segnale più forte con un nome familiare, e i telefoni che ricordano le vecchie reti si riconnetteranno a una sosia automaticamente, senza che tu tocchi nulla.
Una volta che sei sul punto di accesso di un attaccante, lui è il tuo gateway: ti assegna il DNS, instrada ogni pacchetto e può provare a dirottarti su pagine false convincenti. TLS protegge comunque i siti configurati a dovere — il browser ti avviserà con forza se qualcuno li impersona — ma tutto ciò che non è cifrato, ogni app che ignora gli errori di certificato e tutto ciò che digiti in una pagina servita dall'attaccante è esposto.
Le difese pratiche sono poco glamour: spegni la connessione automatica per le reti pubbliche, dimentica gli hotspot che non usi più, e non ignorare mai un avviso di certificato mentre sei su una di queste reti.
La pagina che ti accoglie sul Wi-Fi dell'hotel o dell'aeroporto — chiedendo numero di camera, indirizzo email o un login social — merita di per sé un po' di diffidenza. Gira con i privilegi del gestore della rete, ed è banale da imitare su un hotspot falso.
Dai ai portali il minimo: un'email usa-e-getta se un campo è obbligatorio, mai una password che usi altrove, e mai i dati della carta. Un portale non ha alcun motivo legittimo di chiederti credenziali di pagamento per darti il Wi-Fi gratis.
Una nota pratica: le app VPN di solito non riescono a connettersi finché il portale non è completato, perché la rete blocca tutto il resto. Finisci il portale, poi verifica che il tunnel sia attivo prima di fare qualsiasi cosa sensibile. Le app di Aurora si riconnettono automaticamente appena la rete inizia a far passare traffico.
Sul Wi-Fi pubblico una VPN fa un mestiere estremamente bene: rende irrilevante la rete locale. L'hotspot, il suo gestore e chiunque altro vi sia sopra vedono un unico flusso cifrato verso un server VPN — niente richieste DNS, niente SNI, niente destinazioni, niente da dirottare. Protocolli come WireGuard lo fanno con costi minimi di batteria e velocità, quindi tenerla accesa è realistico.
Anche ciò che una VPN non fa conta. Non controlla per te la pagina-portale in cui digiti, non protegge un dispositivo con la condivisione file esposta alla sottorete locale, e non rende legittimo un sito di phishing. Sposta la tua fiducia da un hotspot sconosciuto al fornitore che hai scelto — uno scambio conveniente, non magico.
La maggior parte della protezione vera viene da una manciata di impostazioni che configuri una volta, più due abitudini da mantenere. Nulla di tutto questo richiede competenze da esperto.
Le impostazioni contano perché gli attacchi sul Wi-Fi pubblico sono opportunistici: raccolgono ciò che la maggioranza distratta espone. Un dispositivo aggiornato che non si aggancia a nulla automaticamente, non condivide nulla in locale e incanala il suo traffico semplicemente non è un bersaglio che vale la pena.
Per nascondere il tuo indirizzo IP, fai passare il traffico attraverso un altro server, così i siti vedono il suo indirizzo invece del tuo. Una VPN lo fa per tutto il dispositivo, un proxy per una sola app, e Tor per il massimo dell'offuscamento a scapito della velocità. Nascondere l'IP cambia ciò che i siti vedono, non chi sei.
«No log» non significa quasi mai che un servizio non registra niente. Di solito significa niente log di attività: nessuna traccia dei siti che visiti o dei dati che trasferisci. I metadati di connessione, la diagnostica e i dati di pagamento sono categorie a parte, e ogni fornitore le definisce a modo suo. È l'informativa sulla privacy, non lo slogan, a dirti quali vengono conservate.
Un protocollo VPN definisce come il tuo dispositivo e il server costruiscono il tunnel cifrato. WireGuard è il più veloce e semplice, OpenVPN il più maturo e flessibile, IKEv2/IPsec il migliore nel sopravvivere ai cambi di rete sul telefono, e Xray/VLESS su TLS fa sembrare il traffico del tunnel normale HTTPS. Ognuno sacrifica qualcosa in cambio del suo punto di forza.
Garanzia di rimborso di 14 giorni. Fino a 7 dispositivi con un solo abbonamento.
Proteggi i miei dispositivi