Una VPN cambia il percorso e l’osservatore della rete; la crittografia end-to-end protegge il contenuto della conversazione entro un confine diverso.
Una VPN o un proxy vede normalmente solo il traffico che lo attraversa davvero. Se il contenuto della chat è protetto da crittografia end-to-end corretta e chiavi valide, osservare il percorso di rete non rivela da solo il testo dei messaggi. Questo, però, non significa anonimato completo né che ogni app VPN sia sicura.
Per scegliere e utilizzare questi strumenti consapevolmente, distingui tre livelli: il tunnel VPN, la connessione HTTPS/TLS e la crittografia end-to-end del servizio di messaggistica stesso.
Fino a dove arriva ogni livello?
| Livello | Estremi abituali della protezione | Chi vede ancora parte delle informazioni? |
|---|---|---|
| VPN | Dispositivo e server VPN | Il provider VPN dispone delle informazioni di connessione del traffico che lo attraversa |
| HTTPS/TLS | App o browser e servizio di destinazione | Il servizio di destinazione vede i dati che gli vengono inviati |
| E2EE | Dispositivi dei partecipanti | I destinatari accedono al contenuto leggibile; possono rimanere metadati |
Questi livelli possono coesistere, ma condividere il nome «crittografia» non significa avere gli stessi confini. La guida alla crittografia di EFF spiega questa differenza.
Che cosa può osservare una VPN?
Il provider VPN può osservare l’IP di origine, i tempi, il volume e le destinazioni di rete del traffico che lo attraversa. La quantità di informazioni sui nomi di dominio dipende dal DNS e dalle tecnologie di connessione. Vedere l’IP del server di messaggistica non rivela necessariamente il nome del contatto o l’identificativo del destinatario all’interno dell’app; quelle informazioni possono trovarsi in un livello crittografato.
Una VPN di solito presenta un IP di uscita diverso al servizio di destinazione, ma non nasconde il tuo IP al provider VPN stesso. Anche account, cookie, identificativo del dispositivo o comportamento d’uso possono mantenerti identificabile. Consulta la guida EFF alla scelta di una VPN.
Nemmeno il proxy di una singola app, un’estensione del browser e una VPN di sistema hanno lo stesso ambito. Funzioni come lo split tunneling possono inviare parte del traffico fuori dal tunnel. Parla di «tutto il traffico» solo dopo aver verificato le impostazioni.
Quando sono a rischio il testo dei messaggi o le password?
- Se i dati vengono inviati senza protezione adeguata, un intermediario di rete può leggerli o modificarli.
- Se l’utente ignora un avviso sul certificato o viene considerato attendibile un certificato malevolo, il confine di TLS può cambiare.
- Se l’app VPN stessa è un malware e ottiene autorizzazioni aggiuntive sul dispositivo, il pericolo non riguarda solo il percorso di rete.
- Se la pagina di accesso è falsa, il codice web è alterato o il dispositivo è infetto, le informazioni possono essere acquisite prima dell’esecuzione della crittografia.
Viceversa, la sola presenza di una VPN sul percorso non significa che HTTPS o E2EE siano stati violati. Affermare che il contenuto è esposto richiede un meccanismo preciso e delle prove.
Gratuita o a pagamento: che cosa controllare?
La gratuità non dimostra in modo conclusivo la vendita di informazioni e neppure un abbonamento a pagamento garantisce affidabilità. Controlla la politica sui log, la proprietà, il finanziamento, la cronologia degli aggiornamenti e l’ambito degli audit. Una formula come «senza log» non basta senza definire i tipi di dati e i tempi di conservazione.
Per un’app VPN sconosciuta, valuta separatamente le richieste di accesso ad Accessibilità, contatti o installazione di certificati. Queste autorizzazioni non sono necessariamente richieste per creare un normale tunnel. Non equiparare la sola spiegazione dello sviluppatore a una prova tecnica.
Chat private e canali pubblici in Livara
La pagina sulla sicurezza di Livara distingue la protezione dei contenuti diretti e dei gruppi privati compatibili dai metadati di instradamento e dai canali pubblici. La stessa pagina afferma che un gruppo precedente incompatibile resta esplicitamente fuori da E2EE e che un nuovo gruppo non viene creato con l’etichetta di crittografia finché tutti i membri non sono pronti. Controlla quindi lo stato di quella specifica conversazione e la versione dell’app. Sono affermazioni sulla progettazione del prodotto; questo articolo non è un penetration test né una garanzia di resistenza a tutti gli attaccanti.
Un canale pubblico significa che il suo pubblico e il servizio possono vederne il contenuto. Non significa che ogni intermediario di rete, con HTTPS funzionante correttamente, ne legga direttamente il testo dai pacchetti in transito. «Pubblico per il lettore» e «senza crittografia del trasporto» non sono la stessa cosa.
Breve lista prima di una conversazione sensibile
Usa l’app ufficiale e aggiornata; non ignorare gli avvisi sui certificati; rivedi le autorizzazioni aggiuntive; conosci il tipo effettivo di conversazione e le impostazioni di backup; e, in una situazione sensibile, verifica la chiave del contatto tramite un percorso indipendente.
Scegli una VPN per il problema che risolve davvero. Cambiare il percorso di rete può essere utile, ma non sostituisce un dispositivo sano, l’autenticità della chiave o la fiducia nel destinatario.
