Le VPN possono instradare il traffico degli utenti verso un server remoto attraverso una connessione crittografata, impedendo agli intermediari di leggerne il contenuto e ai server di destinazione di vedere l’indirizzo IP dell’utente. Tuttavia, nei sistemi con un solo server, il traffico viene decifrato prima di essere inviato alla destinazione; in quel momento, il traffico e gli indirizzi IP del mittente e della destinazione possono essere visibili a dipendenti malevoli o aggressori. Anche la mancata crittografia di alcuni metadati, come i timestamp, può consentire ai governi di creare profili degli utenti. Sebbene le istituzioni statunitensi raccomandino l’uso delle VPN, non hanno fornito criteri su quali configurazioni garantiscano una protezione sufficiente.
Il senatore Ron Wyden (D-Ore.) ha chiesto raccomandazioni chiare per i dipendenti pubblici, gli appaltatori della difesa, i giornalisti e i difensori dei diritti umani che si trovano ad affrontare minacce straniere avanzate, in una lettera inviata mercoledì al direttore della NSA, il generale Joshua Rudd. Wyden ha chiesto alla NSA di aggiornare l’attuale guida pubblica e di fornire le proprie risposte entro il 14 ottobre. Tra le domande figurano l’adeguatezza delle VPN commerciali standard a singolo hop, il confronto con sistemi multi-hop come Apple Private Relay, Tor e Nym, nonché la necessità di ritardi casuali, padding crittografico e traffico di copertura.
Nym è un client open source scritto in Rust; supporta il ritardo casuale e il riordinamento dei messaggi attraverso una mixnet decentralizzata, oltre al multi-hop. Apple Private Relay utilizza due server, uno gestito da Apple e l’altro da un fornitore di contenuti terzo, e la sua protezione è limitata a Safari sui dispositivi Apple. Tor, invece, fa passare il traffico attraverso tre server. Tra gli operatori volontari di Nym e Tor potrebbero esserci degli agenti; Private Relay, invece, si affida a società come Cloudflare e Akamai. Il Congressional Research Service riassume le opzioni, ma non fornisce criteri di scelta. Il professore della Georgetown University Micah Sherr ha affermato che non esiste una standardizzazione affidabile per valutare i servizi VPN.
Perché è importante
Questa richiesta dimostra che presentare l’uso delle VPN come misura di sicurezza generale potrebbe non essere sufficiente per gli utenti esposti a minacce elevate. Per i dipendenti pubblici, gli appaltatori della difesa, i giornalisti e i difensori dei diritti umani, la questione principale non riguarda tanto la crittografia della connessione, quanto chi può vedere i modelli di traffico e i metadati. Le differenze tra i servizi a singolo hop e le opzioni multi-hop o basate su mixnet sollevano anche la questione di quanto la protezione dipenda dal dispositivo utilizzato, dal browser e dai fornitori di servizi. Tuttavia, le guide attuali non stabiliscono quale di queste opzioni debba essere preferita in base al modello di minaccia. La risposta della NSA lascia aperta la questione se riuscirà a trasformare le caratteristiche tecniche in un quadro di valutazione concreto che gli utenti possano utilizzare per confrontarle.
Termine: latenza
La latenza è il tempo che intercorre tra l’invio di una richiesta e il ritorno della risposta; nei videogiochi e nelle trasmissioni in diretta si avverte direttamente.