Archivi tag: man in the middle

Sneaky Phishing rompe la doppia autenticazione SMS

Sneaky Phishing vs 2FA

I ricercatori del Certfa Lab hanno individuato una campagna di sneaky phishing,  che potremmo tradurre genericamente come il phishing “subdolo”, che e’ in grado di compromettere i sistemi di protezione di accesso ai servizi on-line basati sulla doppia autenticazione con SMS.

Come abbiamo gia descritto in un recente articolo, anche i migliori sistemi di autenticazione online , tramite il 2FA, ossia il sistema di autenticazione a doppio fattore, soprattutto quello per cui interagiamo con il servizio a cui vogliamo collegarci tramite il doppio uso di Login+SMS codice, e’ ormai a rischio, motivo per cui sono nate le chiavette come la Yubikey o, piu’ recentemente, la Titan Security Key di Google.

Ma oggi purtroppo nuovi pericoli affliggono la gestione di accesso tramite SMS, infatti sono arrivate nuove tipologie di attacco informatico che possono invalidare il livello di sicurezza di questo sistema.

Oggi parleremo della truffa chiamata “Sneaky phishing”. Prima di questo nuovo attacco informatico, l’autenticazione a due fattori (two-factor authentication) era considerata il sistema di protezione più sicuro per proteggere i propri account, soprattutto quelli per l’accesso ai servizi di home banking, e proprio l’autenticazione basata su SMS negli ultimi tempi è stata colpita da vari attacchi “man-in-the-middle” e “man-in-the-browser”, nonché da frodi nello scambio di SIM di famosi provider di telefonia mobile.

L’attacco Sneaky phishing è stato creato attorno alla vecchia idea di inviare un falso allarme di accesso non autorizzato ad un account vittima, utilizzando un indirizzo generico ma dall’aspetto plausibile, come ad esempio:
” notifications.mailservices@gmail.com ”

L’inganno iniziale di questo attacco , che quindi sfrutta in partenza la tecnica del Phishing , sfrutta il fatto che Google, ma anche Yahoo e tutti gli altri grandi nomi di Internet, inviano spesso avvisi di sicurezza per informare i proprio utenti di un accesso sospetto ai rispettivi account da computer o dispositivi diversi da quelli utilizzati normalmente .

All’interno di questi messaggi possono trovarsi diverse altre tecniche di cattura dei dati di accesso per la violazione di un’account, quali ad esempio:

  • pagine e file di phishing ospitate su sites.google.com, un sottodominio di Google
  • invio dell’avviso e-mail come immagine cliccabile dell’add-on Screenshot di Firefox, piuttosto che come URL in modo da bypassare i sistemi di anti-phishing
  • tracciamento di chi ha aperto le e-mail incorporando un minuscolo pixel 1×1 cosiddetto “beacon” che viene ospitato e monitorato da un sito web esterno

…..etc……etc……..

Presumibilmente è stato così per la maggior parte dei loro bersagli, nella pratica i criminali hanno utilizzato una pagina web di phishing costruita ad hoc che imitava l’accesso 2FA del fornitore del servizio on-line utilizzato dalle vittime per dirottarle usando le tecniche di Phishing viste sopra.

COME DIFENDERSI ??

I sistemi di autenticazione a due o più fattori rimangono ancora i più efficaci sistemi per proteggere i propri account on-line, ma quanto successo , e si e’ dimostrato, con questa campagna di sneaky phishing conferma che l’SMS non è più l’opzione migliore per effettuare la verifica di accesso. Google, ad esempio, non la propone più ai suoi nuovi utenti, a meno che non sia stata impostata su vecchi account Gmail, ma spinge perche’ vengano usati sistemi di token hardware FIDO U2F, in quanto può essere bypassato solo accedendo fisicamente alla secure key.

Qualcuno potra’ obiettare che anche il token puo’ essere violato, se ad esempio viene perso o rubato ed a quel punto l’ultimo baluardo rimarrebbe la “robustezza” della nostra password…..si torna sempre li….l’errore umano.

Ma almeno percentualmente il sistema a doppio fattore gestito con un token hardware rimane, al momento, il sistema piu’ efficace di protezione dei nostri dati.

Torniamo adesso a parlare di quelli che possono essere degli utili consigli per difendersi :

  • prima di tutto, nel momento in cui riceviamo una e-mail, a prima vista lecita, dove ci viene richiesta un’autenticazione, verifichiamone sempre la provenienza e il contesto e poniamoci velocemente alcune domande: 1) Ho cambiato qualche parametro nei settaggi del mio account? 2) Sto creando un account o mi sono registrato ad un nuovo servizio? Se la risposta sara’ “niente di tutto questo” Allora lnon rimane che cestinarla immediatamente, poiche’ si trattera’ sicuramente di una e-mail potenzialmente pericolosa;
  • disabilitiamo il caricamento in automatico delle immagini. Molti fornitori di webmail offrono questo tipo di funzionalità, sfruttiamola;
  • se pensiamo di utilizzare applicazioni di terze parti per l’autenticazione, verificatene sempre la provenienza, usate soltanto URL/store ufficiali per i vostri download;
  • nel caso in cui, a maggior ragione, la sicurezza sia qualcosa di imprescindibile (in ambito personale o lavorativo), valutate l’idea di utilizzare dei token fisici come quelli descritti qui

Quello che bisogna ricordarsi sempre e’ che il Business del crimine e’ sempre pronto e molto spesso un passo avanti a tutti e chi ci lavora si allena quotidianamente…….fatelo anche voi 😉

PENETRATION TEST

Penetration Test

Penetration Test

 

Oggi giorno tutto e’ e sara’ sempre piu’ connesso o interconnesso in rete, dalle nostre vite sociali, ai dati aziendali fino all’ultima frontiera rappresentata dall’Internet delle Cose IoT, che è un neologismo riferito all’estensione di Internet al mondo degli oggetti e dei luoghi concreti.

Tutto questo scambio continuo di dati (foto, login, codici…) richiede che le aziende incaricate di mantenere al sicuro i nostri dati piu’ importanti debbano essere sempre preparati dal pericolo sempre maggiore di un’intrusione, in effetti il comportamento non sarebbe diverso da una squadra di vigili del fuoco che si allenano costantemente simulando ogni tipologia di situazione cosi da sapere sempre cosa fare, come risolvere e se possibile come prevenire un disastro.

Una delle metodologie a cui dovrebbero affidarsi i team di sicurezza interni, o tramite specifiche consulenze, sono i cosidetti PENETRATION TEST.
Che cosa s’intende quando si usa questo termine? Il penetration test è la metodologia di valutazione della sicurezza di un sistema o di una rete. L’analisi comprende più fasi ed ha come obiettivo evidenziare le debolezze della piattaforma fornendo il maggior numero di informazioni sulle vulnerabilità che ne hanno permesso l’accesso non autorizzato. L’analisi è condotta dal punto di vista di un potenziale attaccante e consiste nello sfruttamento delle vulnerabilità rilevate al fine di ottenere più informazioni possibili per accedere in modo fraudolento al sistema. Un pen-test dunque consiste nel testare la sicurezza di un sistema cercando di violarlo sottoponendolo ad una grande varietà di attacchi informatici e non. L’obiettivo è quello di individuare eventuali vulnerabilità sfruttabili da terzi per ottenere accessi non autorizzati ai servizi e ai sistemi analizzati.

Oltre ai problemi di sicurezza, devono essere rilevati, quali possibili punti deboli, i problemi relativi alla configurazione, il cosidetto “tuning“, che incidono sulla robustezza e le performance del sistema, e gli errori di progettazione della rete. Non a caso, a volte una cattiva configurazione è più pericolosa di un bug.

Questa e’ una lista sintetica che descrive cio che un pen-tet cerca d’individuare:

  • bug, vulnerabilità e security hole nel software presente;
  • punti deboli nella progettazione della rete;
  • punti deboli di firewall e router;
  • punti deboli negli script dei web-server;
  • errori nella configurazione dei principali servizi in esecuzione;
  • problemi relativi l’accesso fisico alle macchine.

Una volta portato a termine il test, tutti i problemi di sicurezza rilevati vengono presentati al cliente o alla propria direzione informatica assieme ad una valutazione del loro impatto nel sistema e nello scenario del business aziendale, fornendo inoltre una soluzione tecnica o proposta di migrazione e mitigazione del sistema.

Il penetration test ci fornisce quindi una stima chiara sulle capacità di difesa e del livello di penetrazione raggiunto nei confronti di problematiche quali:

  • vulnerabilità interne al sistema;
  • vulnerabilità esterna al sistema;
  • difetti sicurezza fisica

Quali sono le modalita’ in cui i Penetration Tester svolgono il loro ruolo ??
I processi di penetration test possono essere effettuati in diverse modalità. La differenza consiste sulla quantità e qualità delle informazioni disponibili a coloro che devono effettuare l’analisi riguardo ai sistemi analizzati. I processi di analisi che vengono condotti in un penetration test hanno diversi tempi di azione in cui vengono alternate fasi manuali e fasi automatiche. Vengono acquisite inizialmente le informazioni principali sull’architettura della piattaforma e sui servizi offerti. Dall’analisi di questi dati deriva la scelta di come condurre il passo successivo, consistente in una enumerazione dei principali errori e problemi. Subentrano cosi nell’equazione i Penetration Tools che, uniti all’esperienza manuale dell’analista permettono quindi di evidenziare tutte le possibili vulnerabilità, incluse quelle più recenti e, a volte, alcune ancora non di pubblico dominio. I problemi riscontrati sono quindi manualmente verificati.

L’attività si considera conclusa una volta portata a termine la reportistica composta dal report di analisi sommaria dedicato al management o executive summary, contenente l’analisi dell’impatto di rischio di quanto riscontrato e tempistiche per l’azione di rientro o mitigazione delle problematiche riscontrate, e dal report tecnico, contenente l’analisi dettagliata dei problemi e la soluzione tecnica.

Va aggiunto per maggiore chiarezza che il penetration test va effettuato su sistemi esposti su Internet e comunque sulle piattaforme sensibili collegate a grosse reti, testando le vulnerabilita’ sia con attacchi esterni alla rete che con attacchi dall’interno della stessa e, possibilmente gia prima prima che esse entrino nella fase di completo esercizio.
Possiamo distinguere vari livelli tecnici dei test, piu’ a grandi linee si possono delineare tre grandi categorie:

  • livello basso: questo è il test che in genere fanno i tool di auditing automatici, a la Nessus per intenderci. Si controlla solo se ci sono servizi in esecuzione con vulnerabilità note, in genere vengono rilevate solo grosse falle e misconfigurazioni macroscopiche.
  • livello medio: oltre a controllare i servizi in esecuzione, viene testata la rete, i firewall, i router, etc…, e si fa spesso ricorso anche a tecniche di social engineering.
  • livello alto: qui siamo a livelli paranoici, si può arrivare a controllare i sorgenti (se disponibili) dei programmi alla ricerca di nuove vulnerabilità (quindi meglio optare per software open source e li dove e’ possibile per far sviluppare internamente cio di cui si ha bisogno), o ad esercitare la tecnica denominata del trashing detto anche information diving, che è la pratica di risalire ad informazioni riservate attraverso il setacciamento dei rifiuti della vittima, come resoconti, bollette, corrispondenza. Una delle tecniche preferite dal famoso Kevin Mitnick.

Mettendo insieme tutte queste metodologie ed informazioni possiamo darvi un piccolo scenario di cio che viene eseguito, a grandi linee, durante un’attacco:

  • Ricognizione di base: informazioni dal sito, informazioni sul dominio e sull’amministratore. A volte basta visitare il sito per raccogliere importanti notizie sul software presente sul server, spesso infatti in fondo all’home page i webmaster inseriscono notizie sul sistema operativo, webserver, etc…., come ad esempio trovare indicazioni come queste “Powered by Apache, Linux Inside…” , mettono a rischio i sistemi.
  • Ricostruzione della struttura interna della rete
  • Raccolta Info:Una volta identificata la struttura della rete e il numero di macchine bisogna raccogliere il maggior numero di informazioni su ognuna di esse. Quindi occorre ricercare i servizi in esecuzione, identificare i sistemi operativi, la versione dei servizi, il tipo di processore, i nomi utente (standard e non), le risorse condivise, etc.
  • Tracciamento vulnerabilita‘: dopo aver determinato i tipi di servizi attivi sull’host bersaglio si deve tracciare una mappa delle vulnerabilità, e occorre ricercare (o scrivere) gli exploit applicabili contro i servizi bersaglio.
  • Analisi della topologia della rete.
  • Applicazione degli exploit.
  • Verifica della possibilità di sniffing e tentativi di DoS & DDoS.
  • Test su router e firewall.
  • Pulizia delle tracce dell’attacco.
  • Stesura del report.

Al termine degli attacchi e della valutazione dei log raccolti un sistema potra’ dirsi vulnerabile se è possibile:

  • accedere a risorse interne;
  • leggere e modificare file riservati;
  • controllare il traffico in entrata e/o uscita;
  • eseguire programmi senza averne i permessi;
  • accedere alla macchina con i permessi di amministratore (root) da parte di utenti non privilegiati;
  • controllare la configurazione della rete e dei servizi.

Punti critici:
cerchiamo ora di evidenziare i lati negativi del preparare un pen-test che purtroppo e’ un po come fare i lavori di casa mentre voi ci abitate dentro……
I punti critici da prendere in considerazioni sono: trattamento dei dati raccolti, salvaguardia dei sistemi e dei dati, riservatezza riguardo le vulnerabilità emerse durante il pen-test. Durante il penetration test potrebbero verificarsi dei disagi dovuti al lavoro del tester, si potrebbero avere perdite o danni ai dati o ancora una momentanea perdita di accessibilità. Ad esempio una macchina dedicata all’e-commerce potrebbe rimanere inaccessibile a causa di una simulazione di un DoS, con conseguenze economiche dirette. O ancora, una azienda che fornisce servizi a terzi, potrebbe vedere i propri servizi interrotti con evidente disagio per i clienti.
Prima di cominciare il test bisogna concordare quale livello di rischio il committente è disposto a correre, invitandolo anche a fare un backup dei dati prima di effettuare il pen-test. Bisogna prevedere tali evenienze in fase di stipula del contratto, declinando per quanto possibile le responsabilità e garantendo però, allo stesso tempo, adeguate misure per il recupero del sistema.

Per ultimare questa carellata sul valore di un Pen-test aggiungo che il suo valore è strettamente legato alle capacità del tester, dunque affidiamoci soltanto a persone preparate che possono dimostrare esperienza pratica svolta su clienti tracciabili; inoltre esso perde di validità non appena si apportano modifiche (anche minime) alla configurazione di una macchina interessata al test, quindi è consigliabile eseguire un pen-test poco prima di mettere in produzione la rete. Inoltre anche lasciando inalterate le macchine testate, il pen-test dovrebbe essere ripetuto periodicamente, poichè oggi giorno vengono trovate quotidianamente nuove vulnerabilità e nuovi exploit.

Navigazione Anonima – Quello che dovresti sapere

Anonimi sul Web

Anonimi sul Web

Partiamo subito con il chiarire che la navigazione anonima del browser non ti rende invisibile sul web, in quanto non nasconde il tuo indirizzo IP.

Bisogna iniziare a dipanare alcune false convinzioni e cattivi modi di utilizzare un potente mezzo come Internet.

Domanda: Sai quali dati lasci in giro ogni volta che navighi?

La definizione piu’ errata e’ l’utilizzo del termine navigazione anonima (o navigazione in incognito) come il nome dell’opzione attivabile sui browser che consente di non salvare i cookies a livello locale.

Un ‘infinita’ di persone naviga su internet pensando che quando attiva la navigazione anonima “nessuno” possa sapere che cosa stiano facendo , cosa stiano visitando , e credono realmente che questa semplice opzione li renda immuni da ogni pericolo del web, al sicuro da occhi indiscreti.

MA IN INCOGNITO DA CHI ?

Teoricamente da tutti coloro che nella rete ci vivono per spiare gli altri con scopi di diverso genere, pubblicita’ occulta e non richiesta, stalker e quant’altro si possa trovare nel web, ma in realta’ navigheremo in incognito soltanto da noi stessi; perche’ cio !!!???

 

Proviamo a spiegare meglio.

Diciamo che stai navigando dal tuo pc (o da quello dell’ufficio) e decidi di aprire una nuova finestra per navigare in incognito, bene, di fatto ti si apre una sessione di navigazione internet dove tutti i dati raccolti durante la navigazione, una volta chiusa la sessione verranno cancellati, nella realta’ delle cose cio’ avverra’ soltanto a livello LOCALE, quindi solo nel vostro PC, ehhhhh gia’.

Diamo per vero che se “navighi in incognito” e fai login in un sito web (home banking per esempio) , una volta chiusa la finestra del browser i dati delle vostre password e i siti web che avete vistato non verranno salvati nel tuo computer, ma questo purtroppo non significa che, ad esempio, il vostro capo curioso, accedendo al server aziendale, oppure il  provider , o ancora il proprietario del sito web , i server DNS , i sistemi di raccolta dati e via dicendo non sappiano che VOI , dal vostro computer , con il vostro specifico indirizzo ip , dalla vostra postazione e locazione fisica avete navigato su un determinato sito , avete scritto la mail a una determinata persona , avete effettuato l’accesso ad un determinato servizio etc etc……

E QUINDI COSA POSSIAMO FARE?

La prima cosa da definire e’ il concetto di privacy, ovvero cos’e’ che in qualita’ di utenti, internauti, vogliamo “nascondere” da occhi curiosi:

  • Mantenere riservati i miei usi e costumi
  • Mantenere riservato il luogo dal quale mi connetto (che per alcuni utenti in luoghi del mondo ad alta censura è a tutti gli effetti una questione di sicurezza personale)
  • Mantenere riservate le mie comunicazioni personali , le e-mail , messaggi e dati scambiati con App di vario genere (whatsapp, skype, hangout etc…), da mobile o pc
  • Non rendere pubblici i miei dati di navigazione (user & password di servizi primari con home banking etc)

 Tutto questo NON viene fatto da una semplice navigazione anonima del browser e se pensavate il contrario e’ il momento di aprire gli occhi.

Facciamo un esempio concreto; ognuno di noi per navigare, che sia da casa o dall’ ufficio, ha necessita’ di attivare una connessione con un ISP (Internet Service Provider).

In Italia i dati della navigazione vengono, per legge, salvati per diversi anni , il tuo provider quindi mantiene memorizzate informazioni come i siti web che visiti (streaming online , siti web per adulti , torrent , banche , comunicazioni di ogni genere…) , dunque ogni volta che mandi una mail loro possono sapere quale indirizzo di posta la manda , a chi , da dove , con che indirizzo IP, e molto altro ancora.

Se fate uso di software p2p o torrent, possono sapere l’origine del traffico , cosa scaricate, possono arrivare a filtrare la vostra connessione fino a rallentarla (vi sara’ successo sicuramente guardando film in streaming da siti FREE), in piu’ tutto questo traffico di dati avviene totalmente in chiaro. Insomma, tanta pubblicita’ per venderti una ADSL da 100 mega e poi scarichi a 500 kb , non ti sei ancora chiesto perchè ?

Tutti questi dati di fatto vengono usati per “schedare” quotidianamente usi e costumi di milioni di persone, salvando di fatto tutte le tue personali abitudini e, purtroppo, a causa di vari proclami contro il terrorismo e presunti hacker cattivi (definiti cosi soltanto perche’ svelano gli altarini di alcune potenze), stiamo prendendo la direzione di un aumento del controllo su tutto quello che facciamo in rete.

Dunque: NAVIGAZIONE ANONIMA NON VUOL DIRE NAVIGAZIONE SICURA

Quante volte vi e’ capitato di collegarvi ad una rete WiFi Free, in un’ internet caffè o in altri luoghi pubblici, magari per fare la prenotazione di un Volo o di un Hotel ?

Situazione ancora piu’ pericolosa, sei in viaggio e decidi di collegarti usando il WI-FI dell’albergo e compri da vari servizi on line, pagando tramite la carta di credito (pauraaaa). Di fatto, ad un malintenzionato, basterebbe installare sul router dell’albergo dei trojan, che oggi giorno sono alla portata di un quattordicenne smaliziato, per potersi intrufolare nella comunicazione, tra voi ed il sito esterno, e letteralmente carpire i vostri dati in chiaro (un tipo di attacco che prende il nome di “Attacco man in the middle”).

Un’ altra delle assurdita’ che si leggono spesso in giro è che basti cambiare indirizzo IP per essere improvvisamente e totalmente anonimi e dunque liberi di fare quello che si vuole, al sicuro da occhi indiscreti : cavolata.

Il nostro indirizzo IP definisce l’associazione tra la nostra sessione internet e la nostra posizione fisica.

Eppure, molta gente pensa che basti utilizzare un proxy per realizzare una vera navigazione anonima , in realtà anche questo non è vero. Anche in questo caso tutto il nostro traffico dati risulterà semplicemente arrivare da un’ altro IP ma di fatto sarà comunque in chiaro e  dunque tracciabile. Nella pratica non verranno nascosti i siti che visitiamo , sara’ soltanto come dire che li sta visitando un’ altro indirizzo IP. Di fatto pero’ un’ ente esterno può associare la tipologia di traffico internet all’ indirizzo ip acquisito , contattare chi ha rilasciato l’indirizzo IP e acquisire il vostro indirizzo reale.

Un proxy non ti rende anonimo al 100% 

Infatti ecco alcuni dati che lasciamo quotidianamente in giro per la rete

  • Chi siamo e da dove ci colleghiamo
  • Il nostro numero di telefono , quando navighiamo con il cellulare
  • Data , ora e tipologia di comunicazione usata (social media, VoIP, p2p, siti web , emails, Messengers)
  • Durata e uso della comunicazione tramite uno dei servizi del punto sopra
  • Dove siamo fisicamente (incluso l’uso di WI-FI o celle di connessioni dati mobile 3/4 G)
  • Verso chi comunichiamo e quando, compresi i dettagli di una mail

DUNQUE: CAMBIARE INDIRIZZO IP NON VUOL DIRE NASCONDERE QUELLO CHE FACCIAMO !

Per nascondere il tuo traffico dati lo devi criptare, devi fare in modo che prima che il tuo traffico vada all’esterno sia indecifrabile e illeggibile. Puoi farlo attraverso l’uso di VPN commerciali o tramite la creazione di VPN fai da te. Solo cosi avrai una reale navigazione anonima. Per chiunque se lo stia chiedendo, persino usare una connessione filtrata con TOR non ci rende sicuri ed anonimi al 100% se non usiamo una VPN per criptare tutto il traffico.

Possiamo affermare che criptare il proprio traffico dati è diventata una priorità, cosi’ come è normale avere un antivirus sul computer, questo perchè oggi giorno siamo sempre interconnessi ed i nostri dati girano ovunque per la rete, nei motori di ricerca, nei grandi centri Big Data, e vengono usati quotidianamente per schedare le nostre abitudini e per inondarci di pubblicità ad-hoc.

Invece, una volta connessi a internet tramite una VPN , che utilizza un protocollo robusto di criptazione, i nostri dati verranno criptati e, a seconda del protocollo utilizzato, sarà difficile se non impossibile decifrarli.

Tramite la VPN viene instaurato un ponte di connessione virtuale punto a punto tra chi si connette e uno dei server della VPN , server che può essere situato ovunque geograficamente, facendovi cosi acquisire un’ indirizzo IP di un’ altra nazione (adesso ha senso), utilizzando successivamente diversi sistemi di tunneling per instradare i dati in modo sicuro.

Ultimo consiglio : USATE UNA VPN PER TUTTO ANCHE PER LO SMARTPHONE

Mentre con un computer ci risulta normale installare un buon antivirus, o persino un firewall per proteggere i nostri dati , con il cellulare invece il 90% delle persone sembra non pensarci o disinteressarsene.

Di fatto pero’ in un’ unico apparecchio teniamo memorizzati dettagli fondamentali sulla nostra vita personale (foto , contatti telefonici , mail , informazioni bancarie, delle carte di credito etc) ma lasciamo che la connessione dati sia sempre aperta, mentre i nostri dati vengono interscambiati continuamente in chiaro.

Oggi ci sono, per fortuna, VPN che fanno di tutto e costano davvero poco, o comunque il giusto per l’importanza del servizio che danno, come PureVPN . Ora che abbiamo fatto chiarezza sul concetto di anonimato in rete credo che l’uso di una vpn dovrebbe diventare una consuetudine di uso comune.

 

VPN – Navigazione Sicurezza e Anonimato

VPN - Navigazione Sicurezza e Anonimato

VPN – Navigazione Sicurezza e Anonimato

Facciamo una piccola premessa per spiegare al meglio che cosa sono le VPN e come possiamo usarle.

Una VPN, acronimo di Virtual Private Network, nasce come l’estensione della rete locale. Grazie ad una VPN è possibile connettere computer e dispositivi mobili fisicamente situati anche a migliaia di chilometri di distanza così come se fossero collegati alla stessa rete locale (aziendale, dell’ufficio o di casa).
Dal momento che le informazioni viaggiano utilizzando un mezzo intrinsecamente insicuro qual è la rete Internet, le VPN prevedono l’utilizzo di un algoritmo crittografico che permetta di cifrare le informazioni in transito rendendole inaccessibili da parte di persone non autorizzate (vengono così scongiurati i cosiddetti attacchi man-in-the-middle, impedendo ad un qualunque malintenzionato che si ponga tra i due estremi della comunicazione di intercettare e leggere informazioni che non gli appartengono).

Le principali peculiarità di una VPN sono:

Economicità: la scelta di una implementazione adeguata in fase di decisione permette di scegliere la soluzione più adeguata al miglior costo sostenibile;
Semplicità: grazie allo sviluppo di diversi protocolli la tecnologia è vpn/pptp e´semplice da implementare;
Sicurezza: Il traffico passante viene comunemente crittografato aumentando conseguentemente la sicurezza della connessione.

Le VPN possono essere usate come alternativa ai Proxy per rendere anonime le nostre connessioni ad internet e, tendenzialmente, sono solitamente più performanti e sicure. A differenza dei Proxy il vostro traffico viene totalmente protetto inibendo ogni sorta di monitoraggio da parte del vostro ISP, infine sfrutterete l’indirizzo IP della rete VPN e non il vostro. Si può usare una VPN sostanzialmente perchè garantisce una navigazione anonima sul web. Tutti i dati sono criptati tramite algoritmi. In pratica è come se i nostri dati internet passassero attraverso un tunnel, proprio la VPN, che scherma la nostra connessione. Questo significa essere più sicuri quando ci si connette ad una rete pubblica, come un wifi in hotel o in un internet cafè. E’ possibile accedere a siti che sono bloccati, come spesso accade proprio all’interno delle reti pubbliche. Non ultimo si è più protetti dagli attacchi di hackers e sniffers. Da ricordare però che il traffico è protetto finché si trova all’interno del tunnel: una volta uscito sarà “allo scoperto” come una qualsiasi altra normale connessione. Ora, so che i più tecnici avrebbero da fare qualche appunto alle affermazioni qui sopra, ma volevo andare dritto al punto.

Solitamente si sfruttano reti VPN dislocate in un paese diverso rispetto al proprio per evitare censure governative o per accedere a siti internet non accessibili a determinate nazioni per questioni di license, un esempio lampante è dato dal servizio Last.FM ormai accessibile in tutto il mondo ma agli albori era possibile iscriversi e sfruttare il servizio solo se si era cittadini Americani e una verifica del proprio IP impediva a cittadini non Americani di sfruttare il sevizio, grazie ad una VPN Americana si poteva aggirare questo limite.

VPN LIST

CyberGhostVPN : un servizio gratuito dislocato in tutto il mondo grazie alla presenza di 20 server, offre banda e traffico limitato per un massimo di 2h consecutive dopo le quali si verrà automaticamente disconnessi.
Per la connessione sfrutta un client proprietario basato sul protocollo OpenVPN ed è purtroppo limitato ai soli utenti Windows. È possibile espandere l’account alla versione Premium a 49euro all’anno eliminando il limite temporale della connessione e ampia la gamma dei server disponibili fino a 230, infine la versione Premium offre i comuni protocolli OpenVPN, L2TP/IPSec e PPTP permettendo il collegamento anche da sistemi operativi diversi da Windows.

TunnelBear : garantisce mensilmente 500Mb di traffico internet gratuito senza alcun limite di banda o di traffico, se inoltre seguite su Twitter l’account ufficiale del servizio il traffico raddoppierà ad 1Gb al mese. La versione premium ha un costo di 49,99 dollari all’anno e offre anche un client per dispositivi mobili iOS e Android.

PureVPN : è un ottima via d’uscita per tutte quelle persone che vivono all’estero e sono disperate perchè hanno una connessione scarsissima e non possono sfruttare a pieno la VPN, inoltre e´ tra le piu´ economiche poiche´ permette di usare fino a 5 multi login (per tanto pagate una volta e condividete l’account con altri amici o parenti, fino a 5) Si seleziona l’Italia dalla server list e cliccate connetti e il gioco e’ fatto., funziona su PC , Mac , Android , Linux , permette i torrent e il p2p.

ExpressVPN : è una tra le più longeve e famose VPN sul mercato. I suoi punti di forza sono la velocità , la copertura delle nazioni e i client proprietari che permettono di usare in modo semplice la VPN su android o Ios. Ottima copertura delle nazioni (45 nazioni , Italia inclusa) , client e app fatta a doc disponibili per il mobile (ricordiamo che è SEMPRE possibile configurare manualmente una connessione VPN su un cellulare) , nessun limite di banda , criptazione dati e possibilità di vedere in streaming contenuti video , come vedere NETFLIX fuori dagli Stati Uniti o vedere Sky Go dall’estero. Permesso P2P e Torrent.

IPVanishVPN : da oltre 15 anni è presente sul mercato con soluzioni VPN. Le sue caratteristiche sono sicurezza estrema (NAT Firewall incluso nel prezzo), Velocità (forse la rete privata VPN più scelta dai gamers), semplicità d’uso.
IPVanish infatti cripta i nostri dati in uscita (per tanto non filtrabili e riconoscibili dai nostri provider) utilizza server velocissimi (rete privata Tier 1 tra le più veloci sul mercato).

Abbiamo dunque capito che poter usare una VPN puo´ essere molto utile ma ricordiamoci sempre di agire usando la testa. Quindi se dovete usare una VPN , usatene una economica o sfruttate i periodi di prova , usando comunque VPN professionali.