VPN logging policy: come valutarla
La logging policy di un provider VPN definisce quali dati vengono raccolti, conservati e potenzialmente forniti a terzi su richiesta legale. Capirla è fondamentale per scegliere un provider in linea con il proprio modello di minaccia, evitando claim no-log marketing-driven non verificati.
Categorie di log
I log si dividono in: connection log (IP sorgente, timestamp, durata), usage log (siti visitati, DNS query, traffico per applicazione) e diagnostic log (errori, crash report). Una VPN no-log seria non conserva connection e usage log, e mantiene solo aggregati statistici senza identificazione del singolo utente.
Procedura passo-passo
- Leggi la privacy policy ufficiale (non solo il marketing).
- Verifica presenza di audit indipendente recente (KPMG, Deloitte, Cure53).
- Controlla casi giudiziari: provider che hanno resistito a subpoena dimostrando di non avere log.
- Verifica giurisdizione: paesi 5/9/14 Eyes vs nazioni con privacy forte (Svizzera, Panama, BVI).
- Cerca trasparenza: warrant canary, transparency report, identità pubblica del team.
- Considera open source del client: meno black box equivale a più fiducia.
- Valuta il modello di business: chi paga il servizio? Se gratis, i tuoi dati sono il prodotto.
Warrant canary e trasparenza
Un warrant canary è una dichiarazione pubblica che il provider non ha ricevuto richieste legali confidenziali. Quando viene rimossa, indica indirettamente che e arrivata una richiesta (in giurisdizioni dove e vietato comunicare). Mullvad, IVPN, ProtonVPN pubblicano transparency report regolari con statistiche richieste/risposte.
Five Eyes e oltre
I trattati di intelligence sharing (Five Eyes, Nine Eyes, Fourteen Eyes) sono spesso citati per sconsigliare provider in quelle giurisdizioni. La realta è più sfumata: importa di più cosa effettivamente registra il provider e cosa può essere costretto a fornire. Audit no-log indipendenti contano più della giurisdizione astratta.
Casi reali e lezioni apprese
Casi storici: ExpressVPN sequestro server in Turchia 2017 senza log forniti (incident Reza Zarrab), IPVanish caso 2016 che ha fornito log nonostante claim no-log (ha cambiato proprietà dopo), PureVPN caso 2017 ha fornito timestamp e IP a FBI. Ogni caso aggiunge informazione: verifica storia di un provider prima di scegliere.
Marketing claims to verify
Claims marketing comuni da verificare: no logs, military-grade encryption, anonymous payment, RAM-only servers, audit verified. Approccio critico: leggi audit reports integrali, verifica giurisdizione legale, cerca casi giudiziari, controlla data breach history del provider. Marketing dice tutto, audit reports dicono la verita.
Aggregato vs individuale
Distinguere tra log aggregati (statistiche bandwidth totale, no per-user) e log individuali (per-user activity). Aggregati sono accettabili per capacity planning. Per-user activity logs sono il punto critico. Verifica nella privacy policy il dettaglio esatto di cosa e registrato e per quanto tempo.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Fidarsi solo del marketing: no-log e claim diffuso; verifica con audit terzi.
- Ignorare giurisdizione: leggi locali sulla data retention possono obbligare logging anche se non desiderato.
- Sottovalutare DNS log: DNS query mostrano siti visitati; verifica se il provider gestisce DNS interni o pubblici.
- VPN gratuita = no-log: spesso opposto: e gratuita perché monetizza vendendo dati.
Domande frequenti
D: Esistono VPN veramente no-log?
R: Si, alcune hanno dimostrato sotto richiesta legale di non avere dati.
D: Posso fidarmi degli audit?
R: Sono un'indicatore forte ma non assoluto: leggi il report integrale, non il riassunto.
D: Cosa fa la differenza?
R: Combinazione di policy, giurisdizione, audit, trasparenza e storia.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.