Cos'è una VPN e come funziona? Una guida in parole semplici

Una VPN (virtual private network) è un servizio che invia il tuo traffico internet attraverso un tunnel cifrato fino a un server gestito dall'azienda della VPN, che poi lo inoltra al sito web o all'app che stai usando. Il tuo provider internet e la rete Wi-Fi a cui sei connesso vedono solo che sei collegato a quel server, e i siti web vedono l'indirizzo IP del server al posto del tuo.

È un'utilità reale, ma molto più limitata di quanto suggeriscano le pubblicità. Una VPN non ti rende anonimo, non ferma la maggior parte del tracciamento e non ti protegge dalle truffe. Sposta il compito di vedere il tuo traffico da un'azienda (il tuo provider internet) a un'altra (il provider VPN). Questa guida spiega come funziona, cosa nasconde e a chi, le funzioni che contano, cosa non può fare e come sceglierne una se decidi di volerla.

Come funziona una VPN?

Il tuo dispositivo cifra tutto ciò che invia e lo racchiude in pacchetti indirizzati al server VPN. Il server li apre e li decifra, inoltra le tue richieste a internet con il proprio indirizzo IP e cifra le risposte sulla via del ritorno verso di te.

La guida Surveillance Self-Defense dell'EFF lo spiega in modo semplice: con una VPN, «tutti i dati che invii (come le richieste ai server durante la navigazione web) sembrano provenire dalla VPN stessa», secondo il suo modulo sulla scelta di una VPN¹. Passo dopo passo:

1. Ti connetti. L'app VPN sul tuo telefono o computer e il server VPN dimostrano reciprocamente la propria identità e concordano nuove chiavi di cifratura. Le regole per farlo sono il protocollo VPN, come WireGuard o OpenVPN (vedi WireGuard vs OpenVPN).
2. Il tuo traffico entra nel tunnel. L'app instrada il traffico internet del tuo dispositivo in un'interfaccia di rete virtuale. Ogni pacchetto viene cifrato e racchiuso in un nuovo pacchetto indirizzato al server VPN. Chiunque si trovi nel mezzo vede dati illeggibili diretti a un solo indirizzo.
3. Il server li inoltra. Sul server VPN il tuo traffico viene decifrato e inoltrato alla sua vera destinazione. Il sito web vede una richiesta proveniente dall'indirizzo IP del server VPN.
4. Le risposte tornano nello stesso modo. Il sito web risponde al server VPN, che cifra la risposta e la invia a te attraverso il tunnel.

Il nome «virtual private network» viene dal mondo aziendale, dove la stessa tecnologia permette ai dipendenti di accedere ai sistemi interni della loro azienda da casa come se fossero in ufficio. Le VPN per i consumatori riprendono l'idea, ma invece di collegarti alla rete di un ufficio ti collegano a internet aperta attraverso il server di qualcun altro.

Cosa nasconde una VPN, e a chi?

Nasconde i siti che visiti alla rete locale e al tuo provider internet, e nasconde il tuo vero indirizzo IP ai siti che visiti. Non nasconde nulla all'azienda della VPN stessa, e poco ai siti in cui effettui l'accesso.

L'ultima riga è quella che conta di più. Nelle parole dell'EFF, «mentre una VPN nasconde al tuo provider i dati di navigazione, il fornitore della VPN vede tutto». Ecco perché la cosa più importante di qualsiasi VPN è chi la gestisce, dove, e quali prove ci sono che non conservi log. È anche il motivo per cui questo sito confronta i provider in base agli audit e allo storico, e non alle funzionalità: guarda la tabella comparativa e la nostra guida su come verificare una promessa di no-log.

L'HTTPS, il lucchetto nella barra degli indirizzi del browser, cifra già il contenuto della maggior parte delle pagine web tra te e il sito, che tu usi o meno una VPN. La guida per i consumatori della FTC afferma che «la maggior parte dei siti web usa la crittografia per proteggere le tue informazioni» e che «grazie alla diffusione della crittografia, connettersi tramite una rete Wi-Fi pubblica è di solito sicuro», secondo i suoi consigli sul Wi-Fi pubblico². Ciò che l'HTTPS non nasconde alla rete è a quali siti ti colleghi. Una VPN lo fa.

Come funziona la cifratura VPN?

I protocolli VPN moderni usano lo stesso tipo di crittografia pubblica, ben studiata, dei siti web sicuri e delle app di messaggistica: uno scambio di chiavi per concordare le chiavi segrete, poi una veloce crittografia simmetrica per il traffico vero e proprio, con un controllo su ogni pacchetto per individuare manomissioni.

WireGuard, il protocollo che oggi la maggior parte dei provider usa per impostazione predefinita, fissa le proprie scelte invece di negoziarle: il suo whitepaper⁴ descrive Curve25519 per lo scambio di chiavi e ChaCha20Poly1305 per cifrare e autenticare i pacchetti, trasportati su UDP. OpenVPN usa TLS, la stessa famiglia di protocolli che protegge l'HTTPS. Entrambi sono abbastanza solidi da rendere inutile attaccare la crittografia; i punti deboli realistici sono il software che la circonda, il server e l'azienda che lo gestisce.

Non serve capire la matematica. Quello che devi verificare è che il provider usi un protocollo diffuso (WireGuard, OpenVPN, IKEv2, oppure un protocollo proprio che sia stato pubblicato e verificato da audit indipendenti) e non qualcosa di segreto. La National Security Agency statunitense e la CISA, nelle linee guida del 2021 sulla scelta e il rafforzamento delle VPN³ per le organizzazioni, hanno indirizzato gli acquirenti verso prodotti basati su standard anziché proprietari.

Che cosa sono gli indirizzi IP e il DNS, e perché contano?

Il tuo indirizzo IP è il numero che internet usa per rimandarti i dati e rivela il tuo provider internet e, più o meno, dove ti trovi. Il DNS è la ricerca che trasforma un nome come example.com in un indirizzo IP. Una VPN deve gestire entrambi, altrimenti si hanno delle fughe di dati.

Quando un sito web vede l'indirizzo IP del server VPN, non può capire da quale casa o telefono sia partita la richiesta, e la sua stima della tua posizione diventa quella del server. È così che una VPN ti permette di apparire in un'altra città o in un altro paese.

Il DNS è il problema più silenzioso. Ogni volta che apri un sito, il tuo dispositivo chiede prima a un server DNS dove trovarlo. Se queste richieste vanno al tuo provider internet invece di passare dal tunnel (una «fuga DNS»), il provider riceve comunque l'elenco dei siti che visiti. Le app VPN affidabili inviano il DNS attraverso il tunnel ai resolver del provider stesso. Se configuri una VPN manualmente, per esempio su un router, vale la pena controllare.

Che cosa sono il kill switch e lo split tunneling?

Un kill switch blocca la tua connessione a internet se la VPN si interrompe, così nulla esce senza protezione. Lo split tunneling fa il lavoro opposto: ti permette di scegliere app o siti che aggirano la VPN.

• Kill switch. Le connessioni VPN cadono per motivi ordinari: un telefono che passa dal Wi-Fi ai dati mobili, un portatile che si riattiva dalla sospensione, un server che si riavvia. Senza un kill switch il tuo dispositivo continua tranquillamente sulla connessione normale. Con il kill switch, il traffico si ferma finché il tunnel non torna attivo. Se usi una VPN per la privacy e non per comodità, attivalo.
• Split tunneling. Alcune cose funzionano male attraverso una VPN: app bancarie che segnalano indirizzi IP stranieri, stampanti e dispositivi smart home sulla tua rete, videochiamate in cui conta ogni millisecondo. Lo split tunneling li fa passare direttamente mentre tutto il resto passa dal tunnel. È comodo, ma significa anche che quelle app non sono protette.
• Multi-hop. Alcuni provider possono instradarti attraverso due server, spesso in paesi diversi, così nessun server singolo vede insieme il tuo vero indirizzo IP e la tua destinazione. È più lento e serve soprattutto se temi che un server specifico sia sotto sorveglianza.
• Offuscamento. Le reti di alcuni luoghi di lavoro, scuole e paesi bloccano le VPN. Le modalità di offuscamento mascherano il traffico VPN da normale traffico web. Ogni provider ha un suo nome per questa funzione.

Che cosa non può fare una VPN?

Una VPN non ti rende anonimo, non impedisce il tracciamento tramite cookie, login o fingerprinting, e non ti protegge da phishing, truffe o malware. Cambia chi può vedere le tue connessioni, non ciò che riveli tu.

• Non è anonimato. L'EFF è schietta: «Una VPN non è uno strumento per l'anonimato». Il provider conosce il tuo vero indirizzo IP e di solito i tuoi dati di pagamento. Se vuoi un anonimato più forte, l'EFF dice che «Tor è una soluzione migliore di una VPN».
• Non ferma la maggior parte del tracciamento. La stessa guida dell'EFF¹ osserva che «ci sono molti altri modi in cui le aziende possono tracciarti, tra cui GPS, cookie web, pixel di tracciamento o fingerprinting». Se hai effettuato l'accesso a Google, Facebook o Amazon, sanno che sei tu qualunque indirizzo IP usi. Un browser o un'estensione che blocca i tracker è più utile di una VPN per questo scopo.
• Non ferma le truffe. La FTC avverte che i truffatori «creano siti web falsi e li cifrano per farti credere che siano sicuri quando non lo sono». Una pagina di phishing funziona altrettanto bene attraverso una VPN.
• Non sostituisce la sicurezza di base. Aggiornamenti del software, un gestore di password, password uniche e l'autenticazione a due fattori ti proteggono da molti più attacchi di quelli che le persone comuni affrontano davvero.
• Non ti mette al di sopra della legge. L'EFF osserva che «a seconda della giurisdizione, un governo può richiedere quei dati o emettere un mandato per ottenerli», e che i provider «possono anche subire pressioni da governi o forze dell'ordine per consegnare informazioni».

Qual è la differenza tra una VPN aziendale e una VPN per consumatori?

Una VPN aziendale ti collega alla rete privata del tuo datore di lavoro per usare i sistemi interni; una VPN per consumatori ti collega verso l'esterno, alla rete pubblica, attraverso i server del provider. Usano tecnologie simili per scopi opposti.

La CISA afferma che i server VPN di accesso remoto «consentono agli utenti esterni di creare un tunnel verso reti protette», nel suo avviso sulle linee guida di NSA e CISA³. Quando la VPN del tuo datore di lavoro è attiva, la rete aziendale può in genere vedere il tuo traffico come lo vedrebbe normalmente il tuo provider internet, quindi non considerarla privata. Una VPN per consumatori come Proton VPN, Mullvad o NordVPN è un prodotto separato che paghi (o usi con un piano gratuito) per tenere la tua navigazione nascosta alla tua rete e al tuo provider.

Diritto previsto dalla legge?

Nella maggior parte dei paesi, Stati Uniti compresi, usare una VPN è legale. Alcuni governi le limitano o le vietano, e ciò che è illegale senza una VPN resta illegale anche con una. Niente di quanto scritto qui è un parere legale.

L'EFF consiglia di tenersi aggiornati sulle «politiche dei singoli paesi sulle VPN (come i divieti)» se viaggi o vivi in un luogo con censura di internet. Inoltre, molti servizi di streaming vietano nei termini di servizio di usare una VPN per accedere al catalogo di un altro paese e bloccano attivamente i server VPN; è una questione contrattuale e non penale, ma può portare alla sospensione dell'account. La nostra guida alle VPN per lo streaming spiega cosa significa in pratica, e quella sulle VPN per il torrenting spiega perché una VPN non cambia la legge sul copyright.

Cosa non fa una VPN?

Molte persone no. Vale la pena averne una se usi spesso reti di cui non ti fidi, non vuoi che il tuo provider internet veda quali siti visiti, o vuoi che i siti vedano una posizione diversa. Non è uno strumento generico per «stare al sicuro online».

La nostra risposta completa, con le situazioni in cui aiuta e quelle in cui no, è in Mi serve una VPN?. Se la questione è il costo, leggi VPN gratuite o a pagamento e il nostro elenco delle VPN gratuite che valgono la pena.

Come scelgo una VPN?

Scegli prima l'azienda, poi le funzionalità. Cerca un audit no-log indipendente e con nome che tu possa leggere, un proprietario e una giurisdizione chiari, uno storico verificabile, un protocollo diffuso e condizioni di rimborso che capisci.

• Chiediti come guadagna. L'EFF suggerisce di domandarsi: «Se la VPN non vende il suo servizio, come fa a tenere a galla la sua attività?» Le VPN gratuite senza un'attività visibile sono il tipo più rischioso.
• Leggi l'informativa sulla privacy. L'EFF avverte che «un'azienda VPN potrebbe registrare i tuoi dati se non lo esclude espressamente nella sua informativa sulla privacy».
• Cerca prove, non slogan. Audit di società con nome e cognome, perquisizioni della polizia o cause giudiziarie finite a vuoto, e una gestione onesta delle violazioni. Il nostro riepilogo no-log classifica i provider proprio su questo.
• Controlla il prezzo reale. I prezzi in evidenza di solito richiedono un piano di uno o due anni pagato in anticipo e si rinnovano a un costo più alto. Vedi le VPN affidabili più economiche.

Se stai scegliendo tra i nomi più noti, i nostri confronti diretti vanno provider per provider: NordVPN vs ExpressVPN, NordVPN vs Surfshark, Proton VPN vs NordVPN e Mullvad vs Proton VPN.