😈 La VPN ti serve davvero? A RYAN LIN no

Ciao a tutti e benvenuti in questo nuovo video in cui parleremo di VPN. Questo non è un video sponsorizzato, io sono una parte terza esterna, vi dico semplicemente che cos'è una VPN, come funziona, quando ha senso averla, quando è una cosa diciamo abbastanza inutile. E questo è quello che vedremo nella prima parte di questo video. Nella seconda parte vedremo invece un caso di cybercrime in cui la VPN non è riuscita a salvare il malintenzionato che la stava utilizzando. Questi due video sono già presenti sul canale, sono però separati, quindi se non volete mettervi a cercare prima il primo video, poi il secondo, potete guardare direttamente questo che unisce già i due argomenti. Buona visione! Immaginate di essere finalmente in partenza per le vacanze. Siete in aeroporto ed è appena stato annunciato un ritardo di 2 ore per il vostro volo. Poco male, intanto ne approfittate per fare le ultime incombenze, come pagare la bolletta che vi è appena arrivata via mail. Vi collegate al Wi-Fi pubblico pubblico dell'aeroporto, inserite le credenziali del vostro home banking, pagate la bolletta e finalmente annunciano l'apertura del vostro gate proprio quando avete appena finito. Partite e per una settimana staccate il cervello. Al ritorno però notate dei movimenti sospetti nel vostro conto corrente, con bonifici verso conti esteri mai autorizzati da voi. Ben presto vi accorgete che l'attacco è avvenuto proprio mentre eravate in aeroporto. Un hacker collegato alla stessa rete Wi-Fi ha intercettato la vostra connessione sfruttando una vulnerabilità per replicare la sessione o deviarvi su una pagina fasulla. Non serviva rubare la password, bastava essere lì sulla stessa rete, se solo aveste usato una VPN. Ciao a tutti e benvenuti in questo nuovo video. Faccio una premessa importante e doverosa: questo video non è sponsorizzato da nessun marchio che vende VPN. So che molti YouTuber oggi pubblicizzano questa o quella VPN e fanno assolutamente bene, è il loro lavoro, ma io non sono così famosa da essere cercata per fare delle sponsorizzazioni. Quindi quello che vi dirò è assolutamente oggettivo e imparziale e frutto della mia esperienza personale. Detto questo, iniziamo subito con una domanda: cos'è una VPN? Immaginate di dover spedire un pacco trasparente contenente dei diamanti. Potete dare il pacco al postino, che poi girerà in bicicletta per le strade trafficate col vostro pacco trasparente in bella vista. Oppure potete inserire il pacco, visto che è una cosa preziosa, all'interno di una cassaforte di metallo e chiedere al postino di passare attraverso un percorso segreto separato dal resto della viabilità. Questo è esattamente come funziona il traffico internet a seconda che usiamo o non usiamo una VPN. L'acronimo VPN sta per Virtual Private Network, traducibile in italiano con rete privata virtuale. È una tecnologia che crea una connessione di rete privata e sicura attraverso internet, separata dal traffico normale. Quando navighiamo senza VPN, soprattutto se siamo collegati a un Wi-Fi pubblico e frequentiamo siti non sicuri, tutto ciò che facciamo online, i siti che visitiamo, i dati che inseriamo, le ricerche che facciamo viaggia in chiaro, cioè in modo aperto ed esposto. È appunto come spedire quei diamanti in un pacco trasparente. Chiunque si trovi nel mezzo del percorso può vedere quello che facciamo, può vedere quello che il pacco contiene. Con una VPN invece tutti i dati vengono prima messi dentro a una specie di cassaforte digitale. Il traffico infatti viene cifrato, cioè trasformato in un codice illeggibile, e poi viene instradato attraverso un tunnel protetto che collega direttamente il nostro dispositivo a a un server VPN sicuro, e poi il server VPN sicuro reindirizza il traffico verso il sito che volevamo consultare. In pratica, io dal mio dispositivo invio una richiesta, ad esempio provo ad accedere al sito della mia banca. La VPN prima di tutto prende i miei dati, quindi il mio indirizzo IP, le mie credenziali, eccetera, e li cifra, cioè li nasconde dietro a un codice illeggibile che può decriptare solo chi è autorizzato a farlo. I dati non vengono inviati al sito della mia banca, ma vengono inviati a un server VPN sicuro, quindi a uno dei server del mio provider VPN, che può essere in Italia ma può essere ad esempio anche in Germania, negli Stati Uniti e così via. Il server VPN è autorizzato a decriptare i miei dati, quindi lo fa e li trasmette al sito della mia banca. Il sito della mia banca risponde inviando altri dati, ad esempio quanti soldi ho sul conto, al server VPN da cui proviene la richiesta, quindi quel server che si trova ad esempio in Germania o negli Stati Uniti. Il server cifra di nuovo quei dati e me li reinvia. La mia VPN, prima di farmeli vedere, li decifra e io posso vedere tutto tranquillamente. Se un malintenzionato vuole rubare le mie credenziali bancarie, si metterà in mezzo al percorso che normalmente fanno i miei dati, quindi dal mio dispositivo al sito della banca. Io con la VPN lo frego perché faccio una strada completamente diversa e perché comunque i dati sono cifrati. Attenzione però, perché non è tutto oro quello che luccica. Ma per capire meglio perché dico questo, dobbiamo fare un passo indietro. Siamo negli anni '60, in piena Guerra Fredda. Mentre il mondo viveva in attesa di quello che poteva succedere, negli Stati Uniti il Dipartimento della Difesa stava lavorando a un progetto rivoluzionario chiamato ARPANET. Prima di ARPANET, che è il precursore del nostro internet, i computer erano collegati solo se si trovavano fisicamente nello stesso luogo, collegati allo stesso server. Se il server centrale fosse stato distrutto, tutto quello che conteneva sarebbe andato perso. ARPANET servì a ribaltare questo concetto introducendo 3 semplici regole: 1. La rete non doveva avere un cuore centrale, ma diversi nodi. 2. I dati dovevano potersi muovere attraverso più percorsi. 3. Se un nodo, cioè un punto nella rete, veniva distrutto, i dati dovevano essere in grado di aggirarlo e trovare un'altra strada. ARPANET era rivoluzionario e pose le basi di come usiamo internet ancora oggi, ma aveva un problema fondamentale: lo scopo per cui era stato creato era solo quello di collegare i vari server. Non era pensato per un utilizzo pubblico, né per proteggere quindi la privacy degli degli utenti o la sicurezza dei dati trasmessi. I protocolli usati all'epoca davano per scontato che ci si potesse fidare dei partecipanti alla rete, perché si trattava di una comunità molto ristretta, una comunità accademica, militare. Nessuno immaginava che un giorno quella rete sarebbe stata usata da miliardi di persone in tutto il mondo. Quando negli anni '90 internet esplose, divenne commerciale, le aziende si trovarono di fronte a un dilemma. Avevano bisogno di collegare uffici distanti, di far lavorare i dipendenti da remoto e di condividere anche informazioni sensibili. Ma internet era come una strada pubblica dove chiunque poteva vedere quello che facevano gli altri. Immaginiamo un'azienda che ha due sedi, una a Milano e una a Roma. Negli anni '90, se questa azienda voleva far comunicare le due sedi, aveva due modi: uno, usare la normale rete internet, col rischio che i dati che viaggiavano appunto in chiaro venissero intercettati, con tutti i rischi del caso; due, acquistare una linea privata che collegasse Milano e Roma e che fosse usata esclusivamente da quell'azienda, soluzione che ovviamente costava una fortuna. Usando una analogia è come se l'azienda di Milano volesse portare a Roma i suoi dipendenti. O usa il treno che usano tutti, e c'è il rischio che tutti vedano i dipendenti, che gli rubino il portafoglio o il computer, o che gli facciano del male, e così via. Oppure costruisce una ferrovia a sé stante con un treno diretto che non può usare nessun altro. Costosetto, no? Ed è qui che entra in scena Gurdeep Singh Pal. Gurdeep negli anni '90 lavora per Microsoft ed è ossessionato dall'obiettivo di rendere più sicure le comunicazioni. Nel 1996 sviluppa al protocollo PPTP, ovvero Point-to-Point Tunneling Protocol, che creava un tunnel digitale da un punto all'altro separato dalla rete normale. In pratica permetteva alla nostra azienda di Milano di avere una propria linea privata, ma virtuale, senza il bisogno di creare un cavo fisico che collegasse Milano e Roma. Il PPTP permetteva di incapsulare i dati in una specie di busta digitale protetta che poteva viaggiare sicura attraverso la rete pubblica. L'innovazione fu talmente rivoluzionaria che PC Magazine gli guadagnò il premio Innovation of the Year. Per la prima volta nella storia era possibile creare una rete privata virtuale che esisteva solo nel software, non nei cavi fisici. Era nato il concetto di VPN. Ma la strada era ancora lunga. Il PPTP aveva forti limiti di sicurezza, nel senso che le comunicazioni erano cifrate con degli algoritmi talmente semplici che anche gli hacker meno esperti potevano forzarli e rendere quindi vano l'utilizzo del protocollo. Nel corso del tempo quindi questa tecnologia venne migliorata. Il primo essere introdotto fu IPsec, che anziché cifrare solo la comunicazione in blocco cifrava ogni pezzettino della comunicazione, in modo che fosse più difficile decriptarla. In pratica non si cifrava l'intera busta, ma ogni parola della nostra lettera veniva codificata con un algoritmo specifico. Poi arrivò L2TP per migliorare la stabilità e la gestione dei tunnel, usato spesso in combinazione con l'IPsec proprio per aumentare la sicurezza della comunicazione. Quindi avevamo dati più cifrati, quindi più sicuri proprio mentre venivano trasmessi, che venivano inviati in un tunnel più sicuro, più stabile. Poi nel 2000 arrivò OpenVPN, un software gratuito che proteggeva le comunicazioni con SSL/TLS, ovvero il protocollo più sicuro esistente usato per le transazioni bancarie online. E quella fu la nascita delle VPN che conosciamo ancora oggi, anche se dal 2020 in avanti si è diffuso un nuovo protocollo di nome WireGuard che migliora ancora il precedente con crittografia di ultima generazione e un codice molto snello che aumenta quindi anche l'efficienza delle prestazioni. Come abbiamo visto, il concetto di VPN è nato poco dopo quello di internet, eppure fino a poco tempo fa non ne parlava praticamente nessuno. La vera esplosione delle VPN anche nel grande pubblico è avvenuta in due fasi, o meglio con due eventi epocali: l'11 settembre 2001, che rese la sicurezza informatica una priorità assoluta, e la pandemia di COVID-19 del 2020, che costrinse mezzo mondo a lavorare da casa. Da strumento utilizzato solo da multinazionali e tecnici esperti, le VPN diventarono improvvisamente indispensabili per milioni di persone normali, anche perché piano piano la consapevolezza sta aumentando. Se avessi fatto questo stesso video nel 2010, penso che sarebbe stato considerato un argomento quasi di nicchia. Oggi invece la VPN bene o male è sulla bocca di tutti. Ora che conosciamo la storia, cerchiamo di capire meglio cos'è una VPN, o come pronuncerebbero gli inglesi, una VPN, che sta per Virtual Private Network. Partiamo partendo proprio dalla definizione stessa. Virtual, cioè virtuale, significa che non esiste fisicamente. Non c'è un cavo dedicato che collega il vostro computer al server che dovete raggiungere, ma è un percorso digitale creato dal software sempre usando internet. Private, cioè privata, indica che anche se questo percorso virtuale passa attraverso una rete pubblica, le comunicazioni al suo interno rimangono riservate. Network significa rete di dispositivi che comunicano fra loro. Una VPN collega il tuo dispositivo a un'altra rete, spesso aziendale, oppure a un server privato, come se noi fossimo fisicamente all'interno di quella rete anche se ci troviamo altrove. Quest'ultima forse è la cosa più facile da capire, perché se avete sentito parlare di una VPN probabilmente avete sentito anche che si può usare per fingere di essere in un altro posto. Ad esempio, sono in Italia, voglio vedere un video su YouTube, mi compare la scritta questo video non è disponibile nel tuo paese, io entro sulla mia VPN, mi collego al server di un altro paese e riprovo finché non riesco a vederlo. Funziona per perché YouTube non guarda il mittente originario, guarda solo il server VPN da cui proviene la richiesta. Se io mi collego a un server statunitense, per YouTube io mi trovo negli Stati Uniti. Vi faccio vedere in concreto come funziona. Ecco qua, io in questo momento sono collegata a una VPN con un server che si appoggia a Milano. Ok, potrei collegarmi anche qua a Roma, è indifferente, posso scegliere un qualsiasi server italiano e collegarmi. Se vado sul sito What is my IP, che è un sito che serve appunto a vedere qual è l'indirizzo IP da cui io sto navigando, mi dovrebbe far vedere che io sono, ecco qua, come vedete, collegata a un server VPN che si trova a Roma. Vedete, è quello che effettivamente è successo, perché io sto usando un server che si appoggia a Roma. Se io provo a cambiare il server, vado ad esempio in quello di Milano, dovrebbe comparirmi una cosa diversa. E infatti mi dice VPN server, ma sei a Milano. Ok, se io disattivassi la mia VPN, qui comparirebbe il mio vero indirizzo IP, quindi quello del mio computer. Vediamo se funziona anche in altri paesi. Se io apro NordVPN e ad esempio mi collego alla Grecia e mi collego a questo server che mi dice che è ad Atene, vedete, verde, quindi sono già connessa. E torno su Google, quello che dovrebbe comparire è che io improvvisamente mi trovo in Grecia, ed è quello che succede, mi trovo ad Atene secondo la VPN. Ora supponiamo che io voglia vedere una serie TV che però è disponibile solo su HBO Max, che è un servizio di streaming statunitense. Se lo cerco su internet mentre sono collegata alla VPN italiana mi ricollego un attimo al server di Milano. Ecco qua. Se io lo cerco adesso su internet non dovrebbe darmelo come valido. E infatti mi dice Max is not available here yet. Quindi Max non è disponibile qui in Italia. HBO Max non è utilizzabile. Che cosa faccio io allora? Faccio due cose. Vi faccio vedere come dovrebbe essere fatto. Allora prima apro di nuovo il mio provider della VPN e mi collego agli Stati Uniti. Lo cerco qua. United States. Ci sono 20 città, una vale l'altra. Adesso si sta collegando a Chicago, ma andrebbe benissimo anche New York o qualunque altro servizio. Vado come seconda cosa a vedere se è cambiato l'indirizzo IP. Dovrebbe essere cambiato, e infatti come vedete adesso è collegato a Chicago. E torno qui. Se io aggiorno adesso, vedrete che in realtà non mi dà ancora la disponibilità. Poi vi spiego il Ho aggiornato e come vi dicevo ancora mi dice che non è disponibile. Questo succede perché il sito ha salvato la mia sessione e quindi non riesco a fregarlo. Sa che vengo dall'Italia e che è impossibile che io in una stessa sessione mi sia spostata dall'Italia agli Stati Uniti. Ma se io apro una finestra di navigazione in incognito e lo ricerco, voilà, mi fa scegliere il piano che voglio ed è quindi disponibile. Non compare più questa disponibilità, non mi dice più che non è disponibile. Mi compare la finestrella che mi dice scegli pure il tuo piano e poi inizia a guardare quello che vuoi. Va detto che oggi tantissimi sistemi riconoscono benissimo se siamo collegati a una VPN, soprattutto a quelle più famose come NordVPN, ExpressVPN, Surfshark e così via. Quindi è più difficile far credere ad esempio a Netflix che siamo negli Stati Uniti se ci troviamo in Italia. Una cosa che però ho notato è che se andiamo all'estero e proviamo ad aprire siti appunto come Netflix mentre siamo collegati con la VPN a un server in Italia, questo controllo viene bypassato. A me è capitato di recente, sono stata negli Stati Uniti, non mi faceva più vedere il catalogo di Netflix Italia perché la rete a cui ero collegata era appunto in America, ma quando mi sono collegata a un server italiano con la VPN mi ha dato di nuovo accesso al catalogo che ero abituata a vedere. Questo probabilmente perché Netflix incrocia una serie di dati, fra cui il prefisso del numero di telefono, l'indirizzo, la lingua del browser e così via. Quindi era realistico per Netflix che io mi in Italia in quel momento. Non è realistico invece se la lingua è impostata su italiano, il mio numero italiano, eccetera, che io mi trovi in America. Al di là del fatto che la cosa che vi ho fatto vedere è ovviamente super figa perché elimina praticamente ogni barriera fisica e geografica, le domande che dovremmo farci sono due: 1, mi serve davvero una VPN? E 2, le VPN sono davvero così sicure come dicono? Per rispondere alla prima domanda dobbiamo capire bene una cosa: Oggi la maggior parte dei siti web usa il protocollo HTTPS, quello che troviamo prima di www.nomesitoweb.it. Prima si usava solo il protocollo HTTP, che però non crittografava i dati trasmessi. La S alla fine di HTTPS sta proprio per secure, è la versione più sicura dell'HTTP. In pratica, oggi quando navighiamo su un sito HTTPS, tutti i dati che comunichiamo al sito sono cifrati. Se ad esempio mi collego al Wi-Fi pubblico dell'aeroporto, vado sul sito della mia banca che è HTTPS, un eventuale malintenzionato può vedere solo che sono andato su quel sito, ma non che cosa sto inserendo, perché i dati sono appunto cifrati. Molti pensano che questo renda abbastanza inutili la VPN, perché sarebbe solo la duplicazione di una protezione che già c'è. E questo in parte è vero. Se io avessi usato anche una VPN, però, il malintenzionato non avrebbe potuto vedere neanche che mi ero collegata al sito della banca, perché la protezione inizia ancora prima con la VPN. Proprio dal momento stesso in cui mi collego alla rete. Inoltre, non tutti i siti sono HTTPS. La maggior parte lo sono, soprattutto quelli bancari, ma ancora alcuni siti vecchi usano HTTP. In quel caso, l'unico modo perché i dati siano effettivamente crittografati è appunto con la VPN, perché HTTP non li cifra. Quindi, se per assurdo la mia banca fosse appoggiata a un sito che usa HTTP e io non stessi usando la VPN, il malintenzionato vedrebbe tutto quello che faccio. Anche il nostro stesso provider di servizi internet può vedere quali siti visitiamo se non usiamo la VPN. E non pensiamo che la navigazione in incognito che abbiamo visto adesso cambi qualcosa. Quella serve solo a non salvare la cronologia e i cookie di sessione, in modo da navigare in modo anonimo, in un modo che evita che la sessione venga salvata. Anonimo però non è l'equivalente di sicuro. Se vogliamo visitare siti poco raccomandabili, la navigazione in incognito non ci salva, evita solo che quello che abbiamo fatto venga salvato sul nostro dispositivo. Questo è un esempio quindi in cui una VPN può darci uno strato di sicurezza in più. Inoltre, non tutto quello che faccio da computer richiede il collegamento a un sito web, quindi non tutto è cifrato tramite HTTPS. Se devo entrare ad esempio da casa nel mio computer aziendale e uso un software per il lavoro da remoto, senza VPN quel traffico potrebbe essere intercettato. La VPN permette appunto di aggiungere un altro livello di sicurezza. Sicurezza. Un altro utilizzo molto tipico delle VPN è la lotta contro la censura. In molti paesi del mondo l'accesso a internet o a determinati social media è limitato, filtrato o anche solo sorvegliato. Le VPN aiutano ad aggirare questi blocchi. Ad esempio, durante le proteste in Iran del 2022, l'uso di VPN è aumentato del 3000%. Vengono usate anche da organizzazioni come WikiLeaks per permettere agli informatori di condividere documenti riservati nella massima sicurezza, da giornalisti investigativi per proteggere le loro fonti, e così via. I 3 utilizzi che ho descritto, quindi l'annullamento delle barriere geografiche, l'aumento della sicurezza della connessione e il superamento dei blocchi collegati alla censura, sono i motivi principali per cui può essere utile avere una VPN installata sui propri dispositivi. Rispondiamo adesso alla seconda domanda, cioè: le VPN sono davvero sicure come promettono? Partiamo dal presupposto che, come diceva il grande Kevin Mitnick, la sicurezza non è un prodotto. Non è che installando la VPN più costosa sul mercato siamo automaticamente protetti da tutto. Sarebbe come dire che se indossiamo il casco migliore di tutti possiamo attraversare la strada senza guardare. Un minimo di attenzione ci vuole sempre. Inoltre anche le VPN possono essere bucate. Pensateci un attimo: se foste degli hacker black hat, dei malintenzionati, e vedeste che tutto il mondo usa delle VPN, direste: eh niente, pazienza, non posso più hackerare nessuno? O cerchereste il modo per aggirare l'ostacolo? Oggi purtroppo ci sono molti servizi VPN che non sono sicuri, perché magari sono basati su protocolli obsoleti e quindi sono facili da bucare, oppure sono addirittura dannosi. Penso soprattutto alle VPN gratuite, che spesso sono più un rischio che un beneficio. Sarebbe quasi meglio non usarle del tutto. D'altronde è un po' scontato, gestire un servizio VPN ha dei costi: server, banda, sviluppo software. Se un fornitore lo offre a costo zero, molto probabilmente sta monetizzando in altri modi, spesso a discapito della privacy dell'utente. Un caso emblematico è è quello di Onavo, una VPN gratuita offerta da Facebook che prometteva sicurezza ma intanto tracciava tutto il traffico degli utenti per fini analitici interni e probabilmente anche per mostrare pubblicità più mirate. Rimane sempre valida la regola generale per cui se non paghi il prodotto, il prodotto potresti essere tu. Altre VPN magari non arrivano al punto da vendere i nostri dati, ma li conservano comunque per consegnarli alle autorità in caso di bisogno, che non è un grosso problema se la stiamo usando solo per vedere un film, ma se ad esempio siamo attivisti, usiamo la VPN perché abbiamo bisogno di un canale sicuro, e la VPN poi passa i nostri dati al governo, potremmo passare dei guai. Se volete un altro esempio, il servizio VPN Hide My Ass consegnò alle forze dell'ordine tutta una serie di dati su indirizzi IP usati e orari di connessione che portarono all'arresto di un membro del gruppo hacker LulzSec che aveva utilizzato quella VPN per attività illegali. Va bene che in questo caso si trattava di un cybercriminale, ma questa vicenda ci fa capire che se un provider tiene traccia delle attività, l'anonimato dell'utente non è garantito. Per non parlare di quello che è successo con PureVPN, ma di questo parliamo nel video di domani. Di fatto, quando usiamo una VPN stiamo spostando la fiducia dal nostro provider internet al nostro provider VPN. Il provider vede tutto il traffico che esce dal nostro dispositivo prima di recapitarlo a destinazione. Come dobbiamo fare quindi? Innanzitutto diffidiamo delle VPN gratis. Se non possiamo permetterci una VPN, ripeto, è quasi meglio non usarla. So che anche Windows ad esempio ha una VPN integrata e gratuita, ma prima di affidarci a quella è meglio verificare bene le politiche e leggere i famosi termini e condizioni per capire se è davvero sicura. Poi cerchiamo provider VPN che adottino delle politiche no-log, cioè che non conservino nulla dei dati degli utenti, altrimenti la VPN risolve un problema ma ne causa un altro. Il limite qui è evidente: la VPN non ci rende anonimi o sicuri di per sé se dietro le quinte il provider registra tutto. Per questo è fondamentale usare solo servizi di comprovata fiducia, idealmente che abbiano subito anche degli audit indipendenti sulle politiche di no-log, e preferire soluzioni autogestite se si hanno le competenze necessarie, così da avere il controllo completo, cioè farsi proprio la VPN in casa e usare solo quella. Ad oggi le reti VPN che hanno delle chiare politiche di no-log che sono state verificate da auditor esterni sono NordVPN, forse la più famosa, ma semplicemente perché è la più pubblicizzata. I suoi audit sono condotte da un ente terzo che ha dichiarato che non conserva IP, cronologia, traffico, dati di connessione, nulla. È stata anche hackerata nel 2019, ma senza che i dati sensibili degli utenti fossero esposti, perché appunto non venivano conservati. E comunque dal 2019 ad oggi ha aumentato ancora di più il livello di sicurezza per evitare che ricapitasse. ExpressVPN, anche questa con politiche di no-log verificate da organizzazioni esterne. Tra l'altro nel 2017 ha dimostrato questa cosa con i fatti, dato che i suoi server sono stati sequestrati dalle autorità network e non contenevano dati utilizzabili. Abbiamo poi Surfshark, che ha anche un sistema di RAM-only server, che significa che tutti i dati eventualmente conservati vengono cancellati a ogni riavvio come misura di sicurezza aggiuntiva. Proton VPN, la VPN svizzera legata fra l'altro allo stesso team di ProtonMail, molto rinomato per la privacy. Mullvad VPN, che non chiede nemmeno un indirizzo email per la registrazione e ha una politica di no-log molto severa. Ma ce ne sono anche altre, quindi cercate magari un po' su internet qualche informazione più e sicuramente trovate qualcosa. Io nell'esempio che vi ho fatto stavo usando NordVPN, ma è assolutamente un caso. Le sto provando un po' tutte per capire con quale mi trovo meglio, e in questo momento sto provando questa. Come vi ho già detto, eviterei le VPN gratuite. Se proprio non potete farne a meno e volete la VPN gratis, state lontano almeno da quelle che sono fortemente sospettate di violare la riservatezza dei dati degli utenti, come Hola VPN, BetterNet, TouchVPN e SuperVPN. VPN. In linea generale comunque spero che questa panoramica vi abbia chiarito un po' le idee su cos'è una VPN e per cosa può essere utile. Lo scopo di questo canale è solo quello di aumentare la consapevolezza degli utenti e aiutarvi a fare scelte quindi un po' più informate. Con il video di oggi dovreste aver capito che la VPN non è lo strumento che ci salva da tutti i mali, non è infallibile, può essere hackerata o può addirittura vendere la VPN stessa i nostri dati. Quindi se decidiamo di usarne una, scegliamo una di quelle più sicure. Sicuramente aggiunge uno strato di sicurezza, che male non fa, soprattutto se la combiniamo con altre pratiche sicure come l'autenticazione a più fattori per accedere ai siti un po' più delicati. Diciamo che adottare tutte le tecnologie di sicurezza è un po' come usare Napisan per igienizzare: elimina il 99,9% dei batteri, ma c'è sempre quello 0,1% che si salva. Quindi non abbassiamo mai la guardia. Internet è un posto stupendo, pieno di potenzialità, ma dobbiamo stare attenti. Tutto qui. Bene, come sempre spero che il video di oggi vi sia piaciuto. Domani vedremo un caso eclatante in cui le responsabilità di uno stalker e di una VPN si sono intrecciate e hanno fatto notizia, anche se non in senso positivo. A domani. Nel 2016 una giovane donna del Massachusetts iniziò a vivere il suo peggiore incubo. Per 16 mesi consecutivi qualcuno violò i suoi account più privati, rubò le sue foto intime e i suoi diari personali, creò centinaia di profili falsi fingendosi lei anche su siti per adulti, invitando sconosciuti a casa sua, bombardò i suoi familiari con minacce fingendo che fosse lei a inviarle e orchestrò oltre 120 falsi allarmi alle forze dell'ordine usando la sua identità. Almeno 3 uomini si presentarono effettivamente alla sua porta credendo agli inviti che lei non aveva mai fatto. L'artefice di questa situazione spaventosa era un programmatore di 25 anni che si credeva invisibile grazie a Tor, mail criptate e soprattutto PureVPN, un servizio che prometteva di non conservare alcun log che potesse identificarlo. Per oltre un anno il ragazzo tormentò la sua vittima convinto di essere completamente invisibile agli occhi della legge. Si sbagliava. Ma partiamo dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Questa forse è la storia peggiore che ho portato finora nel canale. Nel senso che bene o male nei video precedenti abbiamo visto qualche traditore che veniva esposto, internet giù per una mezza giornata, centrifughe rotte e così via. Qua entriamo invece nella vita di una persona che per oltre un anno ha vissuto un'esperienza che non augurerei a nessuno. E soprattutto, da appassionata di informatica e tecnologia quale sono, vedere come questi strumenti possono essere usati per fare del male mi fa soffrire. Comunque sia, per capire questa storia dobbiamo iniziare dal protagonista, Ryan Lynn, che al momento del nostra storia aveva 23 anni, era sotto molti punti di vista il prototipo del giovane talento tecnologico americano. Cresciuto a Newton nel Massachusetts, era quello che i compagni di scuola descrivevano come un genio del computer. Non ho trovato sue foto, o meglio, ho trovato molte foto di persone con il suo stesso nome, quindi per non rischiare di esporre al pubblico ludibrio la persona sbagliata ho preferito evitare di caricare foto. Ma possiamo immaginarcelo così. Lynn lavorava come sviluppatore software presso un'azienda informatica. Era il tipo di persona che poteva configurare una rete, programmare in diversi linguaggi e navigare nel dark web come altri navigano su Facebook. In altre parole, aveva tutte le competenze necessarie per essere pericoloso se avesse scelto di usarle nel modo sbagliato. E purtroppo, nell'aprile del 2016 fece esattamente questa scelta. Tutto iniziò in modo apparentemente innocuo. Lynn stava cercando una sistemazione e rispose a un annuncio pubblicato su Craigslist da una giovane donna di 24 anni che cercava un coinquilino per la sua casa a Waltham, sempre nel Massachusetts. Questa donna, che le autorità chiamano Jennifer Smith per proteggere la sua vera identità, viveva già con altri due coinquilini e stava semplicemente cercando qualcun altro per dividere le spese. L'incontro sembrò inizialmente andare bene. Lynn appariva come un giovane professionista educato e affidabile, con un lavoro stabile nel settore tecnologico. Non c'erano segnali di allarme evidenti, non c'era nessun comportamento che potesse in qualche modo far presagire quello che sarebbe poi accaduto. Jennifer accettò la sua candidatura e Lynn si trasferì nella casa. Ma già nelle prime settimane qualcosa iniziò ad andare storto. Lynn mostrava un interesse eccessivo per la vita privata di Jennifer. Non si trattava della normale curiosità di chi vive sotto lo stesso tetto, ma di qualcosa di più invasivo e anche, diciamo, inquietante. Sembrava sempre sapere troppo sugli spostamenti della ragazza, sui suoi amici, sui suoi impegni. Jennifer iniziò a notare che il suo computer si comportava in modo strano e a sospettare che i suoi account online fossero stati compromessi. In un primo momento ingenuamente si rivolse a Lynn per cercare di sistemare il problema, visto che comunque il ragazzo era un esperto informatico, ma presto iniziò a sospettare proprio di lui. Il fatto che i suoi account fossero stati violati subito dopo l'ingresso in casa di uno sconosciuto esperto di informatica troppo curioso della sua vita privata difficilmente poteva essere considerato una coincidenza. Jennifer iniziò piano piano a vivere nel terrore di essere spiata, Circostanza confermata anche dai suoi coinquilini, che a loro volta avevano notato quanto Lynn sembrasse in qualche modo ossessionato da lei. Alla fine, Jennifer, nell'estate del 2016, poco dopo l'inizio della convivenza con Lynn, decise di allontanarsi temporaneamente da casa, sperando così di bloccare le attenzioni morbose del ragazzo. Ben presto però anche gli altri coinquilini iniziarono a lamentarsi del comportamento di Lynn, tanto che lo stesso venne costretto a lasciare la casa condivisa e Jennifer poté quindi tornare. Per un breve periodo il problema sembrò risolto. Lynn non viveva più con loro, e anche se questo chiaramente non diminuiva il sospetto che gli account fossero stati violati, Jennifer sperava che lentamente il ragazzo si sarebbe dimenticato di lei. Purtroppo era una speranza vana. Jennifer non sapeva ancora che stava per diventare vittima di una delle campagne di cyberstalking più spietate e tecnologicamente sofisticate che siano mai state scoperte. E Lynn, anziché essere scoraggiato dal suo allontanamento forzato, aveva deciso di dimostrare di cosa era davvero capace. L'attacco di Lynn si svolse su più livelli. Il primo fu il furto dei dati e delle informazioni che gli servivano. Lynn aveva già violato alcuni account di Jennifer durante la convivenza, ma decise di intensificare gli sforzi. Riuscì a penetrare nel suo account iCloud, nel suo Google Drive, nei suoi profili social. Sottraeva e copiava tutto quello su cui riusciva a mettere le mani: foto private, documenti personali e soprattutto i diari digitali di Jennifer, che contenevano i suoi pensieri più intimi, le sue paure, i suoi segreti medici e psicologici, i dettagli della sua vita personale. Con queste informazioni in mano, Lynn decise di rovinare la vita di Jennifer. Iniziò quindi il secondo livello dell'attacco: l'impersonificazione. Inviò mail e messaggi a centinaia di persone che conoscevano la ragazza: amici, colleghi, familiari, ex compagni di scuola, tutti quelli che riusciva a trovare. In questi messaggi, fingendosi Jennifer, condivideva le foto private della ragazza, spesso combinate anche con immagini violente, allegava estratti dei diari, rivelando quindi pubblicamente i suoi segreti più intimi. Questo ovviamente con l'obiettivo di distruggere completamente la reputazione e la vita sociale della ragazza, in modo da isolarla dalla sua rete di conoscenze. Ben presto Lynn si rese conto che poteva andare ancora oltre. Il terzo livello del suo attacco fu il furto di identità. Iniziò a creare decine di profili falsi fingendosi Jennifer su siti per adulti, forum di incontri e persino su piattaforme dedicate a servizi di escort o a fantasie estreme. In questi profili scriveva messaggi come se fosse Jennifer, invitando anche degli estranei a casa di lei promettendo atti violenti e pratiche estreme. Come ho anticipato nell'introduzione, sappiamo che almeno 3 uomini si presentarono effettivamente a casa di Jennifer, convinti dai messaggi di Lynn che la ragazza li stesse aspettando per incontri che lei non aveva mai programmato. Immaginate il terrore di Jennifer quando si ritrovò degli sconosciuti alla porta che credevano di essere stati invitati, fra l'altro, per compiere pratiche estreme come quelle che Lynn si intrometteva. Il quarto livello dell'attacco furono le minacce rivolte sia direttamente a Jennifer che ai suoi amici e familiari. Lynn utilizzava servizi di messaggistica anonima come TextNow per bombardare Jennifer e la sua rete di conoscenze di messaggi minatori. Oltre a questo, creava continuamente nuovi account Facebook per aggirare i blocchi che Jennifer metteva, inondandola di richieste di amicizia veramente inquietanti. Iniziò anche a tempestare queste persone con immagini molto forti che riguardavano dei minori, per sconvolgere profondamente destinatari e contemporaneamente far sembrare che fosse Jennifer a inviare quel materiale illegale, compromettendo ulteriormente la reputazione della ragazza. Il quinto livello dell'attacco furono i falsi allarmi di emergenza. Lynn decise di mettere in guai seri Jennifer. Fingendosi lei, inviava email alle forze dell'ordine denunciando la presenza di ordigni esplosivi, mine, bombe nelle scuole locali, nella casa della ragazza, in edifici pubblici. Ovviamente ogni volta che Lynn inviava una di queste false minacce scattava un'operazione di emergenza massiccia. Le scuole venivano evacuate, le squadre artificieri venivano mobilitate, le forze dell'ordine dispiegavano risorse enormi per rispondere a minacce che in realtà non esistevano. In un'occasione Lynn riuscì persino a manipolare un'amica di Jennifer facendole credere che la ragazza fosse in grave pericolo. L'amica preoccupata chiamò la polizia che ovviamente si precipitò a casa di Jennifer per un'emergenza che non esisteva. Lynn riuscì anche a entrare nell'account che Jennifer aveva aperto su .com, un sito di pet sitting, perché la ragazza nel tempo libero arrotondava accudendo animali domestici altrui. Dall'account scoprì che la ragazza in quel momento stava tenendo il cane di una coppia e decise di chiamare i proprietari dell'animale fingendosi lei e dicendo che aveva tolto la vita al loro cane intenzionalmente per gioco. Anche in questo caso venne coinvolta la polizia, dal momento che i proprietari immediatamente contattarono le forze dell'ordine. Vedete su quanti livelli la vita di Jennifer era stata rovinata? I suoi amici, colleghi, familiari, ricevevano continuamente materiale che non volevano vedere. La polizia era a casa della ragazza un giorno sì e uno no, fra allarmi bomba e false segnalazioni di pericolo. Anche i lavoretti che Jennifer faceva per arrotondare venivano sabotati. Tutto questo andò avanti per 16 mesi. Una campagna di questo tipo è in grado di annullare una persona, di portarla veramente a gesti estremi. E non è che Jennifer non facesse niente per cercare di fermare la situazione, solo che le denunce non portavano a niente, anche se lei era certa che fosse Lynn Linn, lui negava. I suoi computer erano sempre puliti, come vi dicevo era un genio dell'informatica, per cui le denunce non portavano a nulla. Linn credeva di aver trovato la formula perfetta per l'anonimato digitale. La sua strategia si basava su quello che gli esperti di sicurezza chiamano difesa in profondità, ma applicata al contrario. Invece di proteggere un sistema, Linn stava proteggendo la propria identità attraverso multipli livelli di offuscamento. Era come indossare non una ma diverse maschere una sopra l'altra, ciascuna progettata per confondere un diverso tipo di investigazione. Il primo strato della sua protezione era Tor, la famosa rete che rimbalza il traffico internet attraverso vari server distribuiti in tutto il mondo. Quando Lin usava Tor per accedere ai siti web, la sua connessione passava quindi attraverso più server diversi prima di raggiungere la destinazione finale, e ciascun server vedeva solo quello precedente e quello successivo, cosa che rendeva molto più difficile tracciarlo. Il secondo strato erano i servizi mail anonimi e crittografati. Lin usava ProtonMail, un servizio email svizzero che cripta tutti i messaggi e promette di non conservare informazioni identificative sui suoi utenti. Creava più account con nomi falsi in modo che fosse più complicato risalire a un unico utente. Il terzo strato era quello che Lin considerava la sua assicurazione finale: PureVPN. Una VPN, o Virtual Private Network, come saprete sicuramente benissimo se avete visto il mio video di ieri, è essenzialmente un tunnel crittografato tra il vostro computer e internet. PureVPN prometteva qualcosa che per Lynn era cruciale: una politica no log. Sul loro sito web dichiaravano esplicitamente: non conserviamo alcun log che possa identificare o aiutare nel monitoraggio dell'attività di un utente. Per qualcuno come Lynn, che stava commettendo crimini federali, questa promessa era fondamentale, perché il nostro cybercriminale aveva fatto i suoi calcoli. Dovete sapere infatti che il nostro internet di casa è dotato di un indirizzo IP che serve a identificarlo all'esterno, come il mittente su una lettera, cioè serve a far capire da chi proviene la connessione. La rete Tor nasconde gli indirizzi IP e li camuffa dietro a tanti rimbalzi della richiesta di connessione, perché la richiesta a ogni rimbalzo cambia l'indirizzo IP da cui proviene. Ma le forze dell'ordine sono in grado di risalire al primo indirizzo IP facendo il percorso inverso. È complicato, ma loro ce la fanno. La VPN invece nasconde completamente il nostro indirizzo IP dall'esterno, e fa risultare le richieste come provenienti dal server della VPN. È come se noi, anziché spedire la lettera da casa nostra col nostro indirizzo di casa come mittente, andassimo in una mega azienda e la spedissimo da lì con il loro indirizzo come mittente. Qual è l'inghippo? Che tutto sta nel capire se la mega azienda tiene un registro in cui salva la provenienza di ciascuna lettera inviata. Perché se qualcuno poi va in questa azienda con la nostra lettera in mano e chiede chi è che ha spedito questa lettera, e l'azienda ha un registro in cui salva tutte queste informazioni, noi nel giro di 2 ore ci troviamo quella persona a casa. Lin però si era affidato appunto a una VPN che dichiarava di non avere un registro in cui salvava la provenienza delle richieste, quindi era serenissimo, perché anche se le forze dell'ordine fossero riuscite a risalire all'indirizzo IP originario, questo sarebbe stato collegato a PureVPN, e se fossero andati a chiedere informazioni a PureVPN, l'azienda non sarebbe stata in grado di fornirgliele, perché a questo registro non c'era. Tra l'altro, Lin non si limitava a nascondere la propria identità. Creava attivamente false piste. Quando creava profili falsi fingendosi Jennifer, non li creava dalla sua connessione di casa, li creava da reti pubbliche, da internet point, da biblioteche, da bar, da connessioni di altre persone, quindi dalla casa di altri. Per cui, anche se PureVPN avesse conservato gli IP originali in un registro, non sarebbe stato comunque quello di casa sua. Gli indirizzi IP non sarebbero comunque stati ricollegabili a casa sua. Per oltre un anno questa strategia funzionò perfettamente. La polizia locale di Waltham aveva ricevuto decine di denunce da Jennifer, ma ogni volta che cercavano di seguire le tracce si scontravano con un muro. Gli indirizzi IP portavano a server anonimi, gli account email erano irraggiungibili, le identità erano tutte false. Ma Lynn aveva commesso un errore fondamentale: aveva sopravvalutato la sicurezza della sua strategia e non aveva pensato che alla fine sarebbe stata coinvolta l'FBI, che ha accesso a tecnologie forensi avanzate, può correlare dati da fonti multiple e soprattutto che può costringere anche i fornitori di servizi anonimi a collaborare con la giustizia. E vi dirò che probabilmente l'FBI non sarebbe nemmeno stata coinvolta se Lynn si fosse limitato a tormentare Jennifer nella sua vita privata, perché figuriamoci se l'FBI può scomodarsi per ogni episodio di stalking. Il problema era nei continui allarmi bomba che Lynn lanciava sperando di mettere la ragazza nei guai, perché è un reato federale che alla lunga non si può ignorare. E infatti nel 2017 il caso venne trasferito all'FBI, che iniziò la propria accuratissima indagine. Il primo indizio arrivò quando gli investigatori riuscirono a mettere le mani su un computer che Lynn aveva usato durante il suo precedente lavoro. Quando Lynn era stato licenziato, si era premurato di cancellare tutto e di reinstallare da capo il sistema operativo per eliminare tutti i propri dati, cosa che poi aveva fatto anche l'azienda prima di riassegnare il computer a qualcun altro. Il punto è che questo non basta a cancellare completamente i dati del precedente utilizzatore, soprattutto se a cercarli è l'FBI. Quello che trovarono fu una miniera d'oro per le indagini. Nei dati residui di Google Chrome gli agenti trovarono prove che Lynn aveva creato degli account sul servizio di messaggistica anonima TextNow, lo stesso servizio usato per bombardare Jennifer di messaggi minatori. Trovarono tracce di registrazione su ProtonMail, il servizio email usato appunto per le comunicazioni anonime, e trovarono visite al profilo rover.com di Jennifer, il sito di pet sitting dove Lynn aveva orchestrato uno dei suoi scherzi più crudeli. Trovarono anche tracce di visite a siti di notizie che riportavano le stesse minacce di bomba che Lynn aveva inviato alle scuole locali, che in pratica nell'informatica è l'equivalente di chi conserva i ritagli di giornale dei propri crimini. Ogni singola scoperta collegava Lynn alle azioni del misterioso stalker, ma il pezzo più importante del puzzle era la presenza del software client di PureVPN installato su quel computer. Questo dettaglio cambiò completamente la strategia investigativa. Gli agenti ora sapevano che il loro sospetto utilizzava una VPN per nascondere la propria identità. Era l'anello mancante che spiegava perché erano sempre arrivati a vicoli ciechi nelle indagini precedenti. Adesso possiamo pensare che sia assurdo che non ci fossero arrivati, ma ricordatevi che fino al 2020 le VPN erano ancora veramente poco usate, erano servizi di nicchia che usavano proprio gli esperti. A questo punto l'FBI mise in atto una strategia investigativa tutto sommato abbastanza semplice. Invece di cercare di superare le difese di Lynn, cosa che avrebbe comportato costi e sforzi eccessivi, decisero di raccogliere le informazioni dalle aziende che erano state utilizzate come intermediari inconsapevoli dei suoi crimini. Il primo passo fu contattare Google. L'FBI ottenne mandati federali per accedere ai log di Google relativi agli account compromessi di Jennifer. Google ovviamente fornì immediatamente tutti gli indirizzi IP da cui erano stati effettuati gli accessi non autorizzati agli account. Questi indirizzi IP non appartenevano direttamente a Lynn, erano collegati ai server di PureVPN localizzati però in un posto preciso, che possiamo ipotizzare fosse il più vicino alla casa di Lynn. Quando fu contattato Rover.com, il sito di pet sitting, gli agenti ottennero altri indirizzi IP che portavano a vari server VPN, alcuni di PureVPN, altri di un secondo provider chiamato One Security. Tutti questi IP portavano alle stesse destinazioni, server VPN specifici a cui si era collegato in momenti specifici. A questo punto l'FBI aveva in mano qualcosa di estremamente potente: una mappa temporale precisa di quando e da quali server VPN erano stati compiuti i crimini. Sapevano che il 15 giugno 2016 alle 14:32 qualcuno si era connesso dal server X di PureVPN per accedere illegalmente all'account Gmail di Jennifer. Sapevano che il 23 luglio 2016 alle 9:17 qualcuno si era connesso al server Y per creare un profilo fake su un sito per adulti. Ovviamente queste informazioni da sole non bastavano. L'FBI aveva bisogno di scoprire chi si nascondeva dietro queste connessioni apparentemente anonime e decise di contattare direttamente PureVPN. Era una mossa che molti investigatori avrebbero considerato un po' inutile. Dopotutto, l'intero valore dell'offerta di PureVPN si basava sulla promessa di non conservare i log delle attività degli utenti. Ma l'FBI ormai aveva esperienza nel trattare con le aziende tecnologiche e sapeva che spesso c'è una differenza sottile ma cruciale fra quello che un'azienda dice di fare e quello che poi fa. Gli agenti federali prepararono una richiesta formale accompagnata dai necessari mandati legali, chiedendo a PureVPN di fornire qualsiasi informazione fosse in loro possesso relativa agli indirizzi IP e agli orari specifici che loro erano già riusciti a identificare. La risposta di PureVPN cambiò tutto. L'azienda non solo collaborò con l'FBI, ma rivelò qualcosa che mandò in frantumi l'illusione di anonimato di Lynn: loro conservavano effettivamente dei log, e precisamente i log di connessione. In pratica tenevano un registro in cui scrivevano quando un utente si connetteva ai loro server, da quale indirizzo IP reale proveniva la connessione e a quale server si collegava. Quando l'FBI presentò a PureVPN la lista di server e orari specifici collegati ai crimini di Lynn, l'azienda controllò i propri registri interni e quello che trovarono fu devastante per Lynn: una corrispondenza perfetta. Come dicevo però, molto spesso Lynn non si collegava da caso dall'ufficio, ma usava biblioteche, Wi-Fi pubblici e così via. Il punto sta tutto in quelle due parole: molto spesso. Perché a volte il ragazzo era così sicuro di sé e delle sue capacità da ignorare le sue stesse precauzioni e si collegava da casa. E all'FBI non servivano tante corrispondenze per incastrarlo. Ma come potevano gli investigatori essere certi che fosse lui e non un suo amico che si collegava da casa sua? Semplice, perché Lynn a volte si collegava anche dall'ufficio e dalla sua scrivania negli orari in cui stava lavorando. Questa informazione era cruciale perché stabiliva un pattern che solo lui poteva aver creato. Nessun altro poteva avere accesso sia alla rete domestica che a quella lavorativa di Lynn e collegarsi dal suo computer di lavoro proprio mentre lui era seduto davanti al PC in orario d'ufficio. L'ironia, fra l'altro, era devastante. Lynn aveva scelto PureVPN specificamente perché prometteva di non conservare log, ma quella promessa era sostanzialmente falsa. PureVPN VPN in realtà prometteva di non conservare i log di attività, cioè quali siti fossero stati visitati, ma non diceva nulla sui log di connessione. La differenza sembra quasi nulla, ma in realtà era fondamentale. I log di attività avrebbero mostrato che Lynn visitava il sito web di Jennifer o che creava profili fake, e chiaramente sarebbe stato ancora più facile incastrarlo. I log di connessione mostravano solo che Lynn si connetteva ai server PureVPN in determinati momenti, ma combinando questi log di connessione con le informazioni già ottenute da Google, Rover.com e gli altri siti, l'FBI poteva ricostruire perfettamente ogni mossa di Lynn. Era come risolvere un puzzle dove ogni pezzo veniva da una fonte diversa. Google forniva l'orario dell'accesso illegale e il server da cui proveniva. PureVPN forniva l'IP di provenienza e l'orario della connessione. Mettendo insieme questi dati, l'FBI poteva dire con certezza matematica che Ryan Lynn, dal suo computer di casa, si era connesso a PureVPN e aveva immediatamente usato quella connessione per commettere crimini specifici. Il 5 ottobre 2017 gli agenti dell'FBI bussarono alla porta di Lin con un mandato d'arresto federale. Lui non oppose resistenza perché sapeva che era inutile. Se l'FBI era arrivato fino a lui significava che aveva prove schiaccianti. L'arresto di Lin fece notizia immediatamente, ma non per i motivi che ci aspetteremmo. Il caso venne riportato dai media tecnologici non tanto come la cattura di un pericoloso cyberstalker, ma come la prima volta che una VPN si proclamava no-log aveva collaborato con l'FBI fornendo dati che teoricamente non doveva nemmeno conservare e che avevano portato all'identificazione di un criminale. Il 9 aprile 2018, quasi 6 mesi dopo l'arresto, un gran giury federale emise un'accusa formale molto pesante: 25 capi di imputazione che coprivano praticamente ogni aspetto della campagna criminale di Lynn. 7 capi di cyberstalking, 1 per Jennifer e 6 per altre persone vicino a lei che Lynn aveva preso di mira. 5 capi di di immagini illegali relative a minori, quelle immagini che Lynn aveva inviato ai familiari e agli amici di Jennifer per sconvolgerli e che costituivano un reato federale gravissimo che da solo poteva comportare decenni di carcere. 9 capi di falso allarme bomba, 3 capi di frode informatica e accesso abusivo a sistemi informatici, un capo di furto di identità aggravato per aver impersonato Jennifer e altre persone a scopo criminale. Nell'aprile 2018 Lynn si dichiarò colpevole di tutti i capi di imputazione. Era una strategia di minimizzazione del rischio. Ammettendo la colpevolezza, Lin sperava di ottenere una pena più lieve rispetto a quella che avrebbe avuto se fosse stato giudicato colpevole dopo un processo. Il 3 ottobre 2018, esattamente un anno dopo il suo arresto, Lin si presentò davanti al giudice federale William Young per l'udienza di condanna. Il giudice Young era noto per la sua esperienza in casi di crimini informatici e per la sua tendenza a emettere condanne esemplari. Nel pronunciare la sentenza, il giudice non nascose la sua repulsione per le azioni di Lin. La campagna di cyber stalking era stata descritta dai procuratori come una delle più estese e crudeli mai documentate, e il giudice concordò pienamente. La condanna fu pesantissima: 210 mesi di carcere federale, 17 anni e mezzo dietro le sbarre, più 5 anni di libertà vigilata con condizioni restrittive molto severe. La pena di Lynn è ancora oggi fra le più severe mai comminate per cyberstalking negli Stati Uniti, ma d'altronde, se consideriamo la natura sistematica e prolungata dei suoi crimini, a me sembra giusta. Gli hanno praticamente dato un anno di carcere per ogni mese in cui ha tolto il sonno a Jennifer nell'attuazione della sua campagna criminale pianificata e orchestrata fin nei minimi dettagli. Mentre Lynn iniziava a scontare la sua pena detentiva, l'attenzione si spostò immediatamente sull'intera industria delle VPN. Il problema non era che PureVPN avesse collaborato con la giustizia in caso di crimini gravi, perché era una decisione difficile da criticare. Il problema era che PureVPN aveva collaborato fornendo log che secondo le sue stesse dichiarazioni pubbliche non dovevano esistere. La promessa we do not keep any logs, noi non conserviamo nessun log, era il fondamento stesso del marketing di PureVPN. Era la ragione per cui molti utenti avevano scelto il loro servizio anziché altri. Ma il caso Lynn aveva dimostrato che questa promessa era sostanzialmente falsa. I media e le aziende concorrenti non persero tempo a sottolineare la contraddizione. PureVPN iniziò a essere chiamata nel giro col nome di Pure Pure menzogne. Gli utenti erano furiosi e ovviamente vennero anche avviate campagne da parte di associazioni dei consumatori. Da queste campagne emerse però che nei termini e condizioni di PureVPN, quelle pagine pagine pagine che noi non leggiamo mai, c'era effettivamente scritto che l'azienda non conservava i log di attività, ma potevano essere tenuti alcuni dati per la manutenzione del servizio. Una formulazione sufficientemente vaga da poter includere i log di connessione, quelli che avevano portato all'identificazione di Lynn. La differenza semantica fra log di attività e log di connessione divenne centrale nel dibattito. PureVPN sosteneva di non aver mai mentito: non conservavano log di quello che gli utenti facevano online, quali siti visitavano, cosa scaricavano, cosa cercavano, ma conservavano i log di quando si connettevano e da dove, compreso l'indirizzo IP. Ovviamente questa rassicurazione non aiutò comunque a ristorare la fiducia nell'azienda, soprattutto perché molti competitor colsero al volo l'occasione per infangarla ancora di più. PureVPN cercò di salvarsi con la carta della chiarezza e anche sostenendo che la VPN serviva a tutelare la privacy degli utenti, ma sicuramente non a coprire dei crimini, e che sostanzialmente dovevano essere tutti contenti che Lin fosse stato preso. Inoltre modificò i termini e condizioni e la privacy policy per eliminare le ambiguità e si sottopose volontariamente anche a degli audit indipendenti a sorpresa sulle proprie pratiche di logging. Gradualmente questi sforzi iniziarono a dare frutti. Alcuni siti di recensioni rimossero essere i loro avvertimenti su PureVPN, gli utenti iniziarono a riconoscere i miglioramenti dell'azienda e piano piano la situazione migliorò. Oggi, diversi anni dopo il caso Lin, PureVPN si presenta come un servizio no-log certificato grazie agli audit indipendenti condotti da organizzazioni esterne. L'azienda cita spesso il proprio caso come un esempio di cooperazione responsabile con la giustizia da attuare solo quando necessario, cercando di trasformare quella che era stata una crisi reputazionale in un elemento di differenziazione competitiva. Sicuramente quello che si impara da questa storia, almeno secondo me, è che non c'è la possibilità di avere un anonimato reale e completo. In qualche modo saremo sempre tracciabili qualunque cosa facciamo. La cosa migliore è non commettere crimini, non stalkerare nessuno, fare sempre i bravi, così l'FBI non avrà motivo di andare a chiedere i log alla nostra VPN. Io devo dire che comunque non sono troppo contraria al salvataggio dei log da parte delle VPN, soprattutto se servono a condannare qualcuno. Che sta rovinando la vita di una persona. Il problema per me nasce quando queste informazioni vengono usate per magari bloccare degli attivisti, mi viene in mente Snowden, che stanno denunciando abusi da parte delle autorità. Ma qui scendiamo in un ambito etico molto complesso che penso sia poco adatto a questo video. Bene, io come sempre spero che questa storia vi sia piaciuta. Fatemi sapere nei commenti se vi va se conoscevate già la vicenda oppure PureVPN. Noi ci rivediamo al prossimo video.