Servizi VPN sicuri: come evitare che spifferino l'IP pubblico reale

Quando si utilizza un servizio VPN fornito da terzi e non un server VPN configurato in proprio all’interno della propria infrastruttura (Server VPN, come crearlo usando un NAS) di solito lo si fa perché si vuole mascherare il proprio indirizzo IP pubblico reale o comunque per superare eventuali censure o limitazioni geografiche.

Visitando ad esempio la home page di DNSStuff, nella parte superiore della pagina si leggerà l’indirizzo IP pubblico col quale si esce sulla rete Internet e una stima della posizione geografica dell’utente.
Usando una VPN gestita da terzi (si pensi all’ottimo servizio ProtonVPN: ProtonVPN: come navigare anonimi, facilmente utilizzabile anche dai dispositivi mobili – vedere VPN gratis su Android con l’app di ProtonVPN -), a connessione avvenuta, non appena si proverà a visitare la home page di DNSStuff si leggerà un indirizzo IP straniero o comunque diverso da quello assegnato dal provider di telecomunicazioni prescelto.

C’è però un problema di fondo che molti gestori di servizi VPN ancor oggi stentano purtroppo a prendere seriamente in considerazione.
Come abbiamo spiegato nell’articolo Anonimato in Rete a rischio: l’IP reale fa mostra di sé i principali browser web implementano e supportano la tecnologia WebRTC.
Essa consente di instaurare immediatamente chat e videochat senza l’installazione e l’utilizzo di plugin “ad hoc”.

Pur avendo abilitato un servizio VPN di terze parti, in alcuni casi i server remoti potrebbero essere in grado di risalire all’indirizzo IP pubblico reale ovvero quello assegnato dal provider Internet prescelto e addirittura all’IP privato assegnato all’interno della LAN dell’utente.

I browser web che attivano per impostazione predefinita WebRTC sono i seguenti:

– Mozilla Firefox
– Google Chrome
– Google Chrome per Android
– Browser installato sui terminali Samsung (“Internet”)
– Opera
– Vivaldi
– Brave

Va evidenziato che Edge, Internet Explorer, Konqueror, Safari e Tor Browser non abilitano per default WebRTC.

Secondo uno studio appena pubblicato dal ricercatore Paolo Stagno (VoidSec), ben il 23% dei servizi VPN oggi disponibili sul mercato non protegge l’IP reale degli utenti e ne consente lo smascheramento via WebRTC.
I servizi VPN e proxy che non hanno ancora assunto misure adeguate per proteggere gli IP degli utenti e tutelare la loro privacy sono i seguenti:

– ChillGlobal (plugin per Chrome e Firefox)
– Glype (a seconda della configurazione)
– hide-me.org
– Hola!VPN
– Hola!VPN (estensione per Chrome)
– IBVPN (addon per il browser)
– PHP Proxy
– phx.piratebayproxy.co
– psiphon3 (sicuro solo se usato con il protocollo L2TP/IP)
– PureVPN
– SumRando Web Proxy
– Windscribe Addons
– BolehVPN (utilizzabile solo negli USA)
– TOR se usato come proxy sui browser che supportano WebRTC
– Navigazione mediante proxy HTTP sui browser che supportano WebRTC
– Navigazione mediante proxy SOCKS sui browser che supportano WebRTC

La lista è comunque ancora incompleta e l’autore dell’indagine invita a tenere d’occhio il contenuto di questo documento Google Docs in cui sono riportati anche tutti i servizi VPN sicuri.
Nella scelta di un servizio VPN, suggeriamo di tenere in considerazione anche l’elenco presentato nell’articolo Le migliori VPN a confronto. E anche le peggiori: alcune VPN, infatti, mantengono dei log e salvano le attività online degli utenti.

Quando si utilizzasse una VPN di terze parti, il consiglio è quindi quello di disattivare sempre WebRTC, usare un browser web che non supporta tale tecnologia, in cui è disabilitata o comunque un servizio VPN indicato come sicuro.

– Per disattivare WebRTC in Firefox basta digitare about:config nella barra degli indirizzi, cercare il parametro di configurazione media.peerconnection.enabled e farvi doppio clic in modo da impostarlo a false.
– Per disattivare WebRTC in Chrome si può installare l’estensione WebRTC Network Limiter, accedere alle sue opzioni quindi scegliere Use only my default public IP address.
– Per disattivare WebRTC in Opera si può installare l’estensione WebRTC Leak Prevent

In tutti i casi, suggeriamo di usare ad esempio questa pagina per verificare se il proprio indirizzo IP privato venisse esposto facendo leva su WebRTC.

In Chrome per verificare i siti web che stessero utilizzando WebRTC è sufficiente digitare chrome://webrtc-internals nella barra degli indirizzi.